(57)【要約】      （修正有）【課題】車両に対する不正アクセスを精度よく検知することが可能な車両不正アクセス対策装置、及び車両不正アクセス対策方法を提供する。【解決手段】攻撃検出ルール生成サーバ１００は、情報処理装置に対して行われた不正アクセスの情報である一般不正アクセス情報を外部情報処理装置から受信する一般不正アクセス情報受信部２１１と、情報処理装置と比較した場合の車両に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報を生成する車両不正アクセス特徴情報生成部２１３と、一般不正アクセス情報と車両不正アクセス特徴情報とに基づき、車両に対する不正なアクセスの構成を示す車両不正アクセス情報を生成する車両不正アクセス情報生成部２１４と、車両不正アクセス情報に基づき、車両に対する不正アクセスを検知するための車両不正アクセス検出ルールを生成する車両不正アクセス検出ルール生成部２１６と、を備える。【選択図】図２
2020017065.tif 000002
【特許請求の範囲】
【請求項１】
所定の情報処理装置に対して行われた不正なアクセスの情報である一般不正アクセス情報を、所定の端末から受信する一般不正アクセス情報受信部と、
情報処理装置に対する不正アクセスと比較した場合の車両に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報を生成する車両不正アクセス特徴情報生成部と、
前記受信した一般不正アクセス情報と、前記生成した車両不正アクセス特徴情報とに基づき、前記車両に対する不正なアクセスの構成を示す情報である車両不正アクセス情報を生成する車両不正アクセス情報生成部と、
前記生成した車両不正アクセス情報に基づき、前記車両に対する不正アクセスを検知するための情報である車両不正アクセス検出ルールを生成する車両不正アクセス検出ルール生成部と、
を備える、車両不正アクセス対策装置。
【請求項２】
車両の特性を示す情報である車両特性情報を記憶する車両特性情報記憶部と、
情報処理装置の特性を示す情報である一般装置特性情報を記憶する一般装置特性情報記憶部とを備え、
前記車両不正アクセス特徴情報生成部は、前記車両特性情報及び前記一般装置特性情報の間の異同を特定することにより、前記車両不正アクセス特徴情報を生成する、
請求項１に記載の車両不正アクセス対策装置。
【請求項３】
前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報として、不正アクセスの主体、不正アクセスの対象、不正アクセスの方法、不正アクセスの回数又は頻度、及び、不正アクセスの時期のうち少なくともいずれかの観点の項目の情報を生成し、
前記車両不正アクセス情報生成部は、前記受信した一般不正アクセス情報における、前記観点の項目に対応する部分を、前記生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、
請求項１に記載の車両不正アクセス対策装置。
【請求項４】
前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報として、不正アクセスの対象を複数の同じ構成の車両とする観点の項目の情報を生成し、
前記車両不正アクセス情報生成部は、前記受信した一般不正アクセス情報における、前記観点の項目に対応する項目である、不正アクセスの対象を特定の一台の装置とする観点の項目を、前記生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、
請求項３に記載の車両不正アクセス対策装置。
【請求項５】
前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報を、不正アクセスの対象を決定する第１フェーズ、不正アクセスの対象にデータを送信する第２フェーズ及び、不正アクセスの対象に所定の処理を行わせる第３フェーズにおける不正アクセスの情報のいずれかに分類し、
前記車両不正アクセス情報生成部は、前記分類した車両不正アクセス特徴情報のフェーズと、前記受信した一般不正アクセス情報のフェーズとが一致する場合に、一致したフェーズにおける車両不正アクセス情報を生成する、
請求項１に記載の車両不正アクセス対策装置。
【請求項６】
前記車両不正アクセス検出ルール生成部は、前記生成した車両不正アクセス情報と、前記受信した一般不正アクセス情報とを合成し、合成した情報に基づき前記車両不正アクセス検出ルールを生成する、
請求項１に記載の車両不正アクセス対策装置。
【請求項７】
前記受信した一般不正アクセス情報の内容と、前記生成した車両不正アクセス情報の内容とを出力する情報出力部を備える、
請求項１に記載の車両不正アクセス対策装置。
【請求項８】
車両不正アクセス対策装置が、
所定の情報処理装置に対して行われた不正なアクセスの情報である一般不正アクセス情報を、所定の端末から受信する一般不正アクセス情報受信処理と、
情報処理装置に対する不正アクセスと比較した場合の車両に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報を生成する車両不正アクセス特徴情報生成処理と、
前記受信した一般不正アクセス情報と、前記生成した車両不正アクセス特徴情報とに基づき、前記車両に対する不正なアクセスの構成を示す情報である車両不正アクセス情報を生成する車両不正アクセス情報生成処理と、
前記生成した車両不正アクセス情報に基づき、前記車両に対する不正アクセスを検知するための情報である車両不正アクセス検出ルールを生成する車両不正アクセス検出ルール生成処理と、
を実行する、車両不正アクセス対策方法。
【請求項９】
前記車両不正アクセス対策装置が、
車両の特性を示す情報である車両特性情報を記憶する車両特性情報記憶処理と、
情報処理装置の特性を示す情報である一般装置特性情報を記憶する一般装置特性情報記憶処理とを実行し、
車両不正アクセス対策装置は、前記車両不正アクセス特徴情報生成処理において、前記車両特性情報及び前記一般装置特性情報の間の異同を特定することにより、前記車両不正アクセス特徴情報を生成する、
請求項８に記載の車両不正アクセス対策方法。
【請求項１０】
前記車両不正アクセス対策装置が、
前記車両不正アクセス特徴情報生成処理において、前記車両不正アクセス特徴情報として、不正アクセスの主体、不正アクセスの対象、不正アクセスの方法、不正アクセスの回数又は頻度、及び、不正アクセスの時期のうち少なくともいずれかの観点の項目の情報を生成し、
前記車両不正アクセス情報生成処理において、前記受信した一般不正アクセス情報における、前記観点の項目に対応する部分を、前記生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、
請求項８に記載の車両不正アクセス対策方法。
【請求項１１】
前記車両不正アクセス対策装置が、
前記車両不正アクセス特徴情報生成処理において、前記車両不正アクセス特徴情報として、不正アクセスの対象を複数の同じ構成の車両とする観点の項目の情報を生成し、
前記車両不正アクセス情報生成処理において、前記受信した一般不正アクセス情報における、前記観点の項目に対応する項目である、不正アクセスの対象を特定の一台の装置とする観点の項目を、前記生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、
請求項１０に記載の車両不正アクセス対策方法。
【請求項１２】
前記車両不正アクセス対策装置が、
前記車両不正アクセス特徴情報生成処理において、前記車両不正アクセス特徴情報を、不正アクセスの対象を決定する第１フェーズ、不正アクセスの対象にデータを送信する第
２フェーズ及び、不正アクセスの対象に所定の処理を行わせる第３フェーズにおける不正アクセスの情報のいずれかに分類し、
前記車両不正アクセス情報生成処理において、前記分類した車両不正アクセス特徴情報のフェーズと、前記受信した一般不正アクセス情報のフェーズとが一致する場合に、一致したフェーズにおける車両不正アクセス情報を生成する、
請求項８に記載の車両不正アクセス対策方法。
【請求項１３】
前記車両不正アクセス対策装置が、
前記車両不正アクセス検出ルール生成処理において、前記生成した車両不正アクセス情報と、前記受信した一般不正アクセス情報とを合成し、合成した情報に基づき前記車両不正アクセス検出ルールを生成する、
請求項８に記載の車両不正アクセス対策方法。
【請求項１４】
前記車両不正アクセス対策装置が、
前記受信した一般不正アクセス情報の内容と、前記生成した車両不正アクセス情報の内容とを出力する情報出力処理を実行する、
請求項８に記載の車両不正アクセス対策方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両不正アクセス対策装置、及び車両不正アクセス対策方法に関する。
【背景技術】
【０００２】
自動運転機能の搭載やそのソフトウェアの遠隔更新の普及により、自動車がサイバー攻撃の対象になる可能性が高まっている。そこで、自動車にデータの暗号化やアクセス認証等の事前のセキュリティ対策を実装することが考えられるが、サイバー攻撃の中にはその対策を乗り越え、自動車に被害を及ぼす場合も想定される。そこで、例えば、自動車を監視するセンタが、自動車が生成するログをリアルタイムで収集し又は分析しておくことで、自動車がサイバー攻撃を受けた際にその攻撃を迅速に検出し適切に対策を行うといった事後のセキュリティ対策が検討されている。
【０００３】
しかしながら、自動車は一般的なＩＴ機器とは異なる構成を有しているため、自動車が搭載するソフトウェアもＩＴ機器におけるソフトウェアとは異なる。このため、自動車へのサイバー攻撃を検出するためのルール設定やセキュリティポリシーの設定等のノウハウは未だ充分に蓄積されていないのが現状である。
【０００４】
ルール設定やセキュリティポリシーの蓄積方法に関しては、例えば特許文献１には、外部の情報機関から収集した攻撃者の攻撃行動データと監視端末のログ考えられる実際の攻撃者の行動データと比較することで、一致した行動を検出するルールやセキュリティポリシーの作成を行うことが開示されている。
【０００５】
また、特許文献２には、複数の監視車両から収集した同じ種類のログの内容を利用して、新たに収集した同じ種類のログの異常値を算出することで、不正な攻撃者がサイバー攻撃を行っているかを判断することが開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１８−５２８２号公報
【特許文献２】特開２０１７−１１１７９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかし、特許文献１に関しては、自動車をターゲットとした攻撃行動を公開している情報機関はなく、自動車向けの攻撃行動を収集することは困難である。また、自動車へのサイバー攻撃の事例も少数であるため、過去の攻撃から攻撃者の行動を予測することも難しい。
【０００８】
また、特許文献２は、ＣＡＮフレームの異常値から攻撃の検出を行う構成を開示しているが、通信ユニット等、Ｅｔｈｅｒフレームを使用するターゲットへの攻撃行動を検出することは難しい。また、正常値内に収まるような攻撃を検出することも難しく、検出の精度は高くないと考えられる。
【０００９】
本発明はこのような背景に鑑みてなされたのものであり、その目的は、車両に対する不正アクセスを精度よく検知することが可能な車両不正アクセス対策装置、及び車両不正アクセス対策方法を提供することにある。
【課題を解決するための手段】
【００１０】
上記課題を解決するための、本発明の一つは、車両不正アクセス対策装置であって、所定の情報処理装置に対して行われた不正なアクセスの情報である一般不正アクセス情報を、所定の端末から受信する一般不正アクセス情報受信部と、情報処理装置に対する不正アクセスと比較した場合の車両に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報を生成する車両不正アクセス特徴情報生成部と、前記受信した一般不正アクセス情報と、前記生成した車両不正アクセス特徴情報とに基づき、前記車両に対する不正なアクセスの構成を示す情報である車両不正アクセス情報を生成する車両不正アクセス情報生成部と、前記生成した車両不正アクセス情報に基づき、前記車両に対する不正アクセスを検知するための情報である車両不正アクセス検出ルールを生成する車両不正アクセス検出ルール生成部と、を備える。
【発明の効果】
【００１１】
本発明によれば、車両に対する不正アクセスを精度よく検知することができる。
その他、本願が開示する課題、およびその解決手段は、発明を実施するための形態の欄、および図面により明らかになる。
【図面の簡単な説明】
【００１２】
【図１】本実施形態に係る自動車向け攻撃検知システムの構成の一例を示す図である。
【図２】攻撃検出ルール生成サーバが備えるハードウェア及び機能の一例を示す図である。
【図３】ＩＴシステム特性ＤＢの一例を示す図である。
【図４】自動車特性ＤＢの一例を示す図である。
【図５】ＩＴシステム攻撃行動ＤＢの一例を示す図である。
【図６】自動車行動要素ＤＢの一例を示す図である。
【図７】自動車攻撃行動ＤＢの一例を示す図である。
【図８】自動車監視サーバが備えるハードウェア及び機能の一例を示す図である。
【図９】自動車向け攻撃検知システムが行う処理の概要を説明する図である。
【図１０】攻撃検出ルール生成フェーズの一例を説明するフローチャートである。
【図１１】攻撃検出ルールＤＢの一例を示す図である。
【図１２】攻撃検出ルール運用フェーズの一例を説明するフローチャートである。
【図１３】自動車ログＤＢの一例を示す図である。
【図１４】アラートＤＢの一例を示す図である。
【図１５】車両不正アクセス情報生成処理の一例を説明するフローチャートである。
【図１６】自動車攻撃行動表示画面の一例を示す図である。
【発明を実施するための形態】
【００１３】
以下、本発明の実施の形態について図面を参照して詳細に説明する。なお、各図面において共通の構成には同一の参照符号が付されている。
【００１４】
＜＜システム構成＞＞
図１は、本実施形態に係る自動車向け攻撃検知システムの構成の一例を示す図である。自動車向け攻撃検知システム１は、インシデント管理システム１０と、少なくとも１台以上の車両２０と、外部情報処理装置３０とを含んで構成されている。
【００１５】
車両２０は、例えば、パワートレイン、ステアリング、ボディ機能等を装備した乗用車である。車両２０におけるこれらの機能を実現するプログラムに対しては、不正アクセス（サイバー攻撃）が行われる可能性がある。
【００１６】
外部情報処理装置３０は、様々なベンダーや調査部門が発見した、情報処理装置（コンピュータ）や情報システム（ＩＴシステム（IT: Information Technology））に関するセキュリティ上の脆弱性情報又はサイバー攻撃情報等のセキュリティ情報を公開する、所定の機関が管理する情報処理装置である。外部情報処理装置３０は、これらのコンピュータやＩＴシステムに対して過去に行われた様々な不正アクセスの履歴の情報（以下、一般不正アクセス情報という。）を記憶している。
【００１７】
インシデント管理システム１０は、車両２０に対する不正アクセスを監視する所定の事業者の施設等に設けられる。インシデント管理システム１０は、攻撃検出ルール生成サーバ１００（車両不正アクセス対策装置）、及び自動車監視サーバ１１０を備える。
【００１８】
攻撃検出ルール生成サーバ１００は、車両２０に対する不正アクセスの情報（以下、車両不正アクセス情報という。）を生成する。そして、攻撃検出ルール生成サーバ１００は、車両不正アクセス情報と、外部情報処理装置３０から取得した一般不正アクセス情報とに基づき、車両２０に対する不正アクセスを検出するための情報（以下、自動車攻撃検出ルールという。）を生成する。
【００１９】
自動車監視サーバ１１０は、各車両２０から、当該車両２０に対して行われた不正アクセスの履歴の情報（以下、自動車ログという。）を収集し、収集した自動車ログと、攻撃検出ルール生成サーバ１００から受信した自動車攻撃検出ルールとに基づき、車両２０に対して行われるサイバー攻撃の検出を行う。
【００２０】
なお、攻撃検出ルール生成サーバ１００と外部情報処理装置３０との間は、通信ネットワーク１５０を介して通信可能に接続され、自動車監視サーバ１１０と各車両２０との間は、通信ネットワーク１６０を介して通信可能に接続されている。なお、通信ネットワーク１５０は、例えば、ＦＴＴＨ（Fiber to the Home）等の固定通信網である。また、通
信ネットワーク１６０は、例えば、３Ｇ／ＬＴＥ（Long Term Evolution）等の公衆移動
体通信網、ＷＡＮ（Wide Area Network）、ＬＡＮ（Local Area Network）等である。
【００２１】
次に、攻撃検出ルール生成サーバ１００について詳細に説明する。
＜攻撃検出ルール生成サーバ＞
図２は、攻撃検出ルール生成サーバ１００が備えるハードウェア及び機能の一例を示す図である。攻撃検出ルール生成サーバ１００は、ハードウェアとして、ＣＰＵ（Central Processing Unit）などのプロセッサ２０１と、ＲＡＭ（Random Access Memory）、ＲＯ
Ｍ（Read Only Memory）等のメモリ２０２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の記憶装置２０３と、ネットワークインタフェース２０４と、次述する入力装置２０６及び出力装置２０７等の外部装置と接続するためのインタフェースであるＩ／Ｏインタフェース２０５とを備え、これらは不図示のバス等を介して接続されている。また、攻撃検出ルール生成サーバ１００には、キーボード、マウス、及びタッチパネル等の入力装置２０６と、ディスプレイ及びタッチパネル等の出力装置２０７とが接続されている。
【００２２】
また、攻撃検出ルール生成サーバ１００は、攻撃検出ルール生成サーバ１００が行う処理を統括する制御部２１０と、一般装置特性情報記憶部２０８と、車両特性情報記憶部２０９と、一般不正アクセス情報受信部２１１と、車両不正アクセス特徴情報生成部２１３と、車両不正アクセス情報生成部２１４と、車両不正アクセス検出ルール生成部２１６と、攻撃検出ルール配信部２１７と、情報出力部２１８とを含む各機能を備える。
【００２３】
一般装置特性情報記憶部２０８は、情報処理装置の特性を示す情報である一般装置特性情報を記憶する。一般装置特性情報は、ＩＴシステム特性ＤＢ２４０に格納される。
【００２４】
（ＩＴシステム特性ＤＢ）
ここで、図３は、ＩＴシステム特性ＤＢ２４０の一例を示す図である。ＩＴシステム特性ＤＢ２４０は、情報処理装置の特性に関する、予め設定されたカテゴリ（例えば、情報システムの構成、装置の構成、関与者の組み合わせ）の情報が格納されるカテゴリ２２０１、当該カテゴリにおける項目（例えば、モビリティ、監視対象数、通信形態）の情報が格納される項目２２０２及び、項目２２０２に対応する情報処理装置の特性の内容を示す情報（一般装置特性情報）が格納される特性２２０３、の各項目を有する、１以上のレコードで構成されている。なお、ＩＴシステム特性ＤＢ２４０は、例えば、インシデント管理システム１０の管理者等（以下、単に管理者という。）が入力して作成する。
【００２５】
図２に戻り、車両特性情報記憶部２０９は、車両２０の特性を示す情報である車両特性情報を記憶する。車両特性情報は、自動車特性ＤＢ２５０に格納される。
【００２６】
（自動車特性ＤＢ）
ここで、図４は、自動車特性ＤＢ２５０の一例を示す図である。自動車特性ＤＢ２５０は、車両の特性に関する、予め設定されたカテゴリ（例えば、システムの構成、装置の構成、関与者の組み合わせ）の情報が格納されるカテゴリ２３０１、当該カテゴリにおける項目（例えば、モビリティ、監視対象数、通信形態）の情報が格納される項目２３０２及び、項目２３０２に対応する車両の特性の内容を示す情報が格納される特性２３０３、の各項目を有する、１以上のレコードで構成される。なお、自動車特性ＤＢ２５０は、例えば、管理者が入力して作成する。
【００２７】
図２に戻り、一般不正アクセス情報受信部２１１は、所定の情報処理装置に対して行われた不正なアクセスの情報である一般不正アクセス情報を、外部情報処理装置３０から受信する。一般不正アクセス情報は、ＩＴシステム攻撃行動ＤＢ２２０に保存される。
【００２８】
（ＩＴシステム攻撃行動ＤＢ）
図５は、ＩＴシステム攻撃行動ＤＢ２２０の一例を示す図である。ＩＴシステム攻撃行動ＤＢ２２０は、一般不正アクセス情報に割り当てられた識別子である攻撃行動ＩＤ２００１及び、攻撃行動ＩＤ２００１が示す一般不正アクセス情報の内容である行動内容２００２の各項目を有する、１以上のレコードで構成されている。
【００２９】
図２に戻り、車両不正アクセス特徴情報生成部２１３は、情報処理装置に対する不正アクセスと比較した場合の車両２０に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報を生成する。
【００３０】
具体的には、車両不正アクセス特徴情報生成部２１３は、車両特性情報（自動車特性ＤＢ２５０）及び一般装置特性情報（ＩＴシステム特性ＤＢ２４０）の間の異同を特定することにより、車両不正アクセス特徴情報を生成する。
【００３１】
さらに、車両不正アクセス特徴情報生成部２１３は、車両不正アクセス特徴情報として、車両２０に対する不正アクセスの主体、不正アクセスの対象、不正アクセスの方法、不正アクセスの回数又は頻度、及び、不正アクセスの時期のうち少なくともいずれかの観点の項目（以下、観点ともいう。）の情報を生成する。すなわち、車両不正アクセス特徴情報生成部２１３は、いわゆる「５Ｗ２Ｈ」（Who＝主体、Where＝場所、What＝対象（目的）、When＝時又は場合、Why＝理由、How＝態様又は方法、How many＝頻度又は回数）の各項目に関する情報を生成する。車両不正アクセス特徴情報は、これらの観点（５Ｗ２Ｈ）ごとに生成される。
【００３２】
例えば、車両不正アクセス特徴情報生成部２１３は、車両不正アクセス特徴情報として、不正アクセスの対象を複数の同じ構成の車両２０とする観点の項目の情報を生成する。
【００３３】
また、車両不正アクセス特徴情報生成部２１３は、車両不正アクセス特徴情報を、不正アクセスの対象を決定する第１フェーズ、不正アクセスの対象にデータを送信する第２フェーズ及び、不正アクセスの対象に所定の処理を行わせる第３フェーズにおける不正アクセスの情報のいずれかに分類する。すなわち、車両不正アクセス特徴情報生成部２１３は、各車両不正アクセス特徴情報を、ロックオンフェーズ（第１フェーズ）、侵入フェーズ（第２フェーズ）、又は目的実行フェーズ（第３フェーズ）のいずれかに分類する。車両不正アクセス特徴情報は、これらのフェーズのいずれかに属する。
【００３４】
車両不正アクセス特徴情報は、自動車行動要素ＤＢ２６０に記憶される。
（自動車行動要素ＤＢ）
図６は、自動車行動要素ＤＢ２６０の一例を示す図である。自動車行動要素ＤＢ２６０は、所定の識別子である要素ＩＤ２４０１、ＩＴシステム特性ＤＢ２４０の項目２２０２及び自動車特性ＤＢ２５０の項目２３０２に対応する項目の情報が格納される比較項目２４０２、比較項目２４０２に対応する、車両２０への不正アクセスの特性（以下、行動要素という。）を示す情報が格納される行動要素２４０３、車両２０への不正アクセスにおけるフェーズを示す情報が格納される攻撃フェーズ２４０４、車両２０への不正アクセスにおける観点の情報が格納される５Ｗ要素２４０５、攻撃フェーズ２４０４が示すフェーズに属し５Ｗ要素２４０５が示す観点における、情報処理装置への不正アクセスの特徴を示す情報（以下、一般不正アクセス特徴情報という。）が格納される変更前内容２４０６及び、変更前内容２４０６が示す一般不正アクセス特徴情報のうち５Ｗ要素２４０５が示す観点の部分を、行動要素における当該観点に変更した情報（車両不正アクセス特徴情報）が格納される変更後内容２４０７の各項目を有する、１以上のレコードで構成される。
【００３５】
図２に戻り、車両不正アクセス情報生成部２１４は、一般不正アクセス情報受信部２１１が受信した一般不正アクセス情報と、車両不正アクセス特徴情報生成部２１３が生成した車両不正アクセス特徴情報とに基づき、車両２０に対する不正なアクセスの構成を示す情報である車両不正アクセス情報を生成する。
【００３６】
具体的には、車両不正アクセス情報生成部２１４は、一般不正アクセス情報受信部２１１が受信した一般不正アクセス情報における、観点の項目に対応する部分を、車両不正アクセス特徴情報生成部２１３が生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、車両不正アクセス情報を生成する。
【００３７】
例えば、車両不正アクセス情報生成部２１４は、一般不正アクセス情報受信部２１１が受信した一般不正アクセス情報における、不正アクセスの対象を特定の一台の装置とする観点の項目を、車両不正アクセス特徴情報生成部２１３が生成した車両不正アクセス特徴情報における観点の項目（不正アクセスの対象を複数の同じ構成の車両２０とする観点の項目）の情報に置き換えることにより、車両不正アクセス情報を生成する。
【００３８】
また、車両不正アクセス情報生成部２１４は、車両不正アクセス特徴情報生成部２１３が分類した車両不正アクセス特徴情報のフェーズと、一般不正アクセス情報受信部２１１が受信した一般不正アクセス情報のフェーズとが一致する場合に、一致したフェーズにおける車両不正アクセス情報を生成する。
【００３９】
車両不正アクセス情報は、自動車攻撃行動ＤＢ２３０に格納される。
（自動車攻撃行動ＤＢ）
図７は、自動車攻撃行動ＤＢ２３０の一例を示す図である。自動車攻撃行動ＤＢ２３０
は、車両不正アクセス情報に割り当てられた識別子である攻撃行動ＩＤ２１０１及び、攻撃行動ＩＤ２１０１が示す車両不正アクセス情報の内容である行動内容２１０２の各項目を有する、１以上のレコードで構成されている。
【００４０】
図２に戻り、車両不正アクセス検出ルール生成部２１６は、車両不正アクセス情報生成部２１４が生成した車両不正アクセス情報に基づき、車両２０に対する不正アクセスを検知するための情報である車両不正アクセス検出ルールを生成する。
【００４１】
具体的には、車両不正アクセス検出ルール生成部２１６は、車両不正アクセス情報生成部２１４が生成した車両不正アクセス情報と、一般不正アクセス情報受信部が受信した一般不正アクセス情報とを合成し、合成した情報に基づき車両不正アクセス検出ルールを生成する。
【００４２】
車両不正アクセス検出ルールは、例えば、車両２０への攻撃者が不正アクセスを行った際にそのアクセスの内容を特定するためのログ（監視対象車両ログ）の決定や、そのアクセスの回数に関する閾値の設定を含む。
【００４３】
なお、車両不正アクセス情報及び一般不正アクセス情報を統合する理由は、車両２０への不正アクセスは、車両２０に特化した不正アクセスの他に、一般的なＩＴシステムに対する不正アクセスが存在する可能性があるためである。
【００４４】
攻撃検出ルール配信部２１７は、車両不正アクセス検出ルール生成部２１６が生成した車両不正アクセス検出ルールを自動車監視サーバ１１０に配信する。
【００４５】
情報出力部２１８は、一般不正アクセス情報受信部２１１が受信した一般不正アクセス情報の内容と、車両不正アクセス情報生成部２１４が生成した車両不正アクセス情報の内容とを出力する。
【００４６】
次に、自動車監視サーバ１１０の詳細について説明する。
＜自動車監視サーバ＞
図８は、自動車監視サーバ１１０が備えるハードウェア及び機能の一例を示す図である。
【００４７】
自動車監視サーバ１１０は、ハードウェアとして、ＣＰＵ（Central Processing Unit
）などのプロセッサ３０１と、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等のメモリ３０２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の記憶装置３０３と、ネットワークインタフェース３０４と、次述する入力装置３０６及び出力装置３０７等の外部装置と接続するためのインタフェースであるＩ／Ｏインタフェース３０５とを備え、これらはバス等を介して接続される。また、自動車監視サーバ１１０には、キーボード、マウス、又はタッチパネル等の入力装置３０６と、ディスプレイ又はタッチパネル等の出力装置３０７とが接続されている。
【００４８】
また、自動車監視サーバ１１０は、自動車監視サーバ１１０を制御する制御部３１０と、検出ルール受信部３１１と、自動車ログ受信部３１２と、攻撃検出部３１３とを備える。
【００４９】
検出ルール受信部３１１は、攻撃検出ルール生成サーバ１００から車両不正アクセス検出ルールを受信し、受信した車両不正アクセス検出ルールを攻撃検出ルールＤＢ３３０に格納する。
【００５０】
自動車ログ受信部３１２は、車両２０が送信してくる、車両２０に対する不正アクセスに関するログ（以下、自動車ログという。）を自動車ログＤＢ３２０に格納する。なお、自動車ログは複数の通信経路から送信されてくる可能性があるため、自動車ログの送信順序と受信順序とは異なる場合がある。このため、自動車ログ受信部３１２は、自動車ログを格納する際、自動車ログ内に記録されているタイムスタンプを読み込むことにより、自動車ログの生成順に並び替えを行う。
【００５１】
攻撃検出部３１３は、自動車ログＤＢ３２０に格納されている自動車ログを、攻撃検出ルールＤＢ３３０に格納されている車両不正アクセス検出ルールに適用することにより、車両２０に対する不正アクセスの検出を行う。なお、攻撃検出部３１３は、車両２０に対する不正アクセスの検出を行った場合には、所定のアラートを生成し、生成したアラートをアラートＤＢ３４０に格納する。
【００５２】
以上に説明した各情報処理装置の機能は、各情報処理装置のハードウェアによって、もしくは、各情報処理装置のプロセッサが、メモリや記憶装置に記憶されている各プログラムを読み出して実行することにより実現される。
【００５３】
また、これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、情報処理装置で読み取り可能な非一時的データ記憶媒体に格納される。
【００５４】
＜＜処理＞＞
次に、自動車向け攻撃検知システム１が行う処理について説明する。
【００５５】
＜処理の概要＞
まず、図９は、自動車向け攻撃検知システム１が行う処理の概要を説明する図である。自動車向け攻撃検知システム１が行う処理は、車両不正アクセス検出ルールを生成する攻撃検出ルール生成フェーズ（Ｓ１００１）と、生成した車両不正アクセス検出ルールを車両２０に適用して車両２０への不正アクセスを検出する攻撃検出ルール運用フェーズ（Ｓ１００２）とを含み、これらが繰り返し実行される。
【００５６】
＜攻撃検出ルール生成フェーズ＞
図１０は、攻撃検出ルール生成フェーズの一例を説明するフローチャートである。攻撃検出ルール生成フェーズは、例えば、攻撃検出ルール生成サーバ１００が稼動したことを契機に、又は所定のタイミング（例えば、所定の時刻又は所定の時間間隔）で開始される。
【００５７】
まず、攻撃検出ルール生成サーバ１００の車両不正アクセス特徴情報生成部２１３は、一般装置特性情報及び車両特性情報に基づき、車両不正アクセス特徴情報を生成する（Ｓ１１０１）。例えば、車両不正アクセス特徴情報生成部２１３は、以下のような処理を行う。
【００５８】
まず、車両不正アクセス特徴情報生成部２１３は、一般装置特性情報及び自動車特性情報の間で共通するカテゴリ及び項目を特定する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、自動車特性ＤＢ２５０のカテゴリ２３０１及び項目２３０２の内容と、ＩＴシステム特性ＤＢ２４０のカテゴリ２２０１及び項目２２０２の内容とが共通する、自動車特性ＤＢ２５０及びＩＴシステム特性ＤＢ２４０のレコードを特定し、その各レコードにおける項目２２０２（又は項目２３０２）の内容を、自動車行動要素ＤＢ２６０の比較項目２４０２に格納する。
【００５９】
車両不正アクセス特徴情報生成部２１３は、この共通するカテゴリ及び項目に対応する、行動要素の情報を生成する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、行動要素の情報の入力を管理者等から受け付け、受け付けた行動要素の情報を行動要素２４０３に格納する。
【００６０】
なお、車両不正アクセス特徴情報生成部２１３は、自動的に行動要素の情報を生成してもよい。例えば、車両不正アクセス特徴情報生成部２１３は、自動車特性ＤＢ２５０における前記レコードの特性２３０３及び、ＩＴシステム特性ＤＢ２４０における前記レコードの特性２２０３を取得し、取得した特性２２０３及び特性２３０３に対応付けられた所定の情報を行動要素２４０３に格納する。
【００６１】
例えば、共通するカテゴリが「システムの違い」、共通する項目が「モビリティ」の場合、これらに対応する特性は「移動」「固定」である。そして、これらに予め対応付けられた、「物理的な移動によるターゲット変更」といった情報が行動要素２４０３に格納される。すなわち、ＩＴシステムへのサイバー攻撃はネットワークを経由したスキャニング等であるため、不正アクセスの主体は物理的な移動を行わず固定されていることが多いのに対して、自動車へのサイバー攻撃は車車間通信を利用するため不正アクセスの主体は物理的な移動を行って次々と不正アクセスの対象を変更することが多い。
【００６２】
また、例えば、共通するカテゴリが「対象の違い」、共通する項目が「監視台数の多さ」の場合、これらに対応する特性は「特定の一台」「同じ構成の複数台」である。そして、これらに予め対応付けられた、「複数の同じ構成の車両への攻撃」といった情報が行動要素２４０３に格納される。すなわち、ＩＴシステムへのサイバー攻撃は特定の一台のコンピュータ（装置）を対象とすることが多いが、自動車へのサイバー攻撃は同一の認証処理を繰り返し行うことで同じ構成を備える複数の自動車を攻撃対象とすることが多い。
【００６３】
続いて、車両不正アクセス特徴情報生成部２１３は、行動要素のフェーズを特定する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、行動要素のフェーズの入力を管理者から受け付け、受け付けたフェーズを自動車行動要素ＤＢ２６０の攻撃フェーズ２４０４に格納する。
【００６４】
なお、車両不正アクセス特徴情報生成部２１３は、行動要素のフェーズの情報を自動的に生成してもよい。例えば、車両不正アクセス特徴情報生成部２１３は、行動要素２４０３におけるテキストを形態素解析等することによりフェーズを特定し、特定したフェーズを自動車行動要素ＤＢ２６０の攻撃フェーズ２４０４に格納する。
【００６５】
次に、車両不正アクセス特徴情報生成部２１３は、行動要素が有する観点を全て特定する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、行動要素２４０３におけるテキストを形態素解析等することにより各観点を特定し、特定した各観点を自動車行動要素ＤＢ２６０の５Ｗ要素２４０５に格納する。なお、観点が複数ある場合は、その数分だけレコードを作成してもよい。また、車両不正アクセス特徴情報生成部２１３は、行動要素が有する観点の入力を管理者から受け付け、受け付けた観点を自動車行動要素ＤＢ２６０の５Ｗ要素２４０５に格納してもよい。
【００６６】
また、車両不正アクセス特徴情報生成部２１３は、一般不正アクセス要素情報を生成する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、一般不正アクセス要素情報の入力を管理者等から受け付け、受け付けた内容を変更前内容２４０６に格納する。
【００６７】
なお、車両不正アクセス特徴情報生成部２１３は、所定のデータベース（例えば、情報
処理装置への不正アクセスに関する技術情報又は事例を記録した情報）に基づき、一般不正アクセス特徴情報を生成してもよい。例えば、車両不正アクセス特徴情報生成部２１３は、所定のデータベースから、行動要素２４０３との相関度が所定の閾値以上のキーワード、句、又は文章等の文字列を抽出し、抽出した文字列を一般不正アクセス特徴情報とするか否かを管理者に問い合わせ、抽出した文字列を一般不正アクセス特徴情報とするとした場合に、その文字列を変更前内容２４０６に格納する。
【００６８】
次に、車両不正アクセス特徴情報生成部２１３は、車両不正アクセス特徴情報を生成する。具体的には、例えば、車両不正アクセス特徴情報生成部２１３は、車両不正アクセス特徴情報の入力を管理者から受け付け、受け付けた内容を変更後内容２４０７に格納する。
【００６９】
なお、車両不正アクセス特徴情報生成部２１３は、所定のデータベース（例えば、情報処理装置への不正アクセスと車両への不正アクセスに関する技術情報又は事例を記録した情報）に基づき、車両不正アクセス特徴情報を生成してもよい。例えば、車両不正アクセス特徴情報生成部２１３は、所定のデータベースから、変更前内容２４０６との相関度が所定の閾値以上のキーワード、句、又は文章等の文字列を抽出し、抽出した文字列を車両不正アクセス特徴情報とするか否かを管理者に問い合わせ、抽出した文字列を車両不正アクセス特徴情報とするとした場合に、その文字列を変更後内容２４０７に格納する。
【００７０】
次に、一般不正アクセス情報受信部２１１は、外部情報処理装置３０から一般不正アクセス情報を受信し、受信した一般不正アクセス情報をＩＴシステム攻撃行動ＤＢ２２０に格納する（Ｓ１１０２）。
【００７１】
車両不正アクセス特徴情報生成部２１３は、受信した一般不正アクセス情報に対して所定の分析を行うと共に（Ｓ１１０３）、Ｓ１１０１で生成した車両不正アクセス特徴情報に基づき、Ｓ１１０３で分析した一般不正アクセス情報から車両不正アクセス情報を生成する（Ｓ１１０４）。Ｓ１１０３及びＳ１１０４の処理（以下、車両不正アクセス情報生成処理という。）の詳細は後述する。
【００７２】
車両不正アクセス検出ルール生成部２１６は、Ｓ１１０２で受信した一般不正アクセス情報と、Ｓ１１０４で生成した車両不正アクセス情報とを統合する（Ｓ１１０５）。
【００７３】
車両不正アクセス検出ルール生成部２１６は、Ｓ１１０５で統合した情報に基づき、車両不正アクセス検出ルールを作成する（Ｓ１１０６）。
【００７４】
攻撃検出ルール配信部２１７は、Ｓ１１０６で生成した車両不正アクセス検出ルールを自動車監視サーバ１１０へ配信する（Ｓ１１０７）。そして、自動車監視サーバ１１０の検出ルール受信部３１１は、受信した車両不正アクセス検出ルールを攻撃検出ルールＤＢ３３０に格納する（Ｓ１１０８）。以上で、攻撃検出ルール生成フェーズは終了する。
【００７５】
（攻撃検出ルールＤＢ）
ここで、図１１は、攻撃検出ルールＤＢ３３０の一例を示す図である。攻撃検出ルールＤＢ３３０は、車両不正アクセス検出ルールの識別子が格納がされるルールＩＤ２６０１、車両不正アクセス検出ルールの内容が格納されるルール内容２６０２及び、車両不正アクセス検出ルールによる検出を行う最低頻度が格納される閾値２６０３の各項目を有する１以上のレコードで構成される。
【００７６】
次に、攻撃検出ルール運用フェーズについて説明する。
＜攻撃検出ルール運用フェーズ＞
図１２は、攻撃検出ルール運用フェーズの一例を説明するフローチャートである。この処理は、例えば、所定のタイミング（例えば、所定の時間間隔、又は所定の時刻）に開始される。
【００７７】
まず、車両２０は、自動車監視サーバ１１０に自動車ログを送信し、自動車監視サーバ１１０の自動車ログ受信部３１２は、受信した自動車ログを自動車ログＤＢ３２０に格納する（Ｓ１２０１）。
【００７８】
攻撃検出部３１３は、受信した自動車ログに、車両不正アクセス検出ルールを適用し、車両２０へのサイバー攻撃の検出を行う（Ｓ１２０２）。攻撃検出部３１３は、車両２０へのサイバー攻撃が検出された際には所定のアラート情報を生成し、生成したアラート情報をアラートＤＢ３４０に格納する（Ｓ１２０３）。以上で攻撃検出ルール運用フェーズは終了する（Ｓ１２０４）。
【００７９】
（自動車ログＤＢ）
ここで、図１３は、自動車ログＤＢ３２０の一例を示す図である。自動車ログＤＢ３２０は、日時又は時刻の情報が格納されるタイムスタンプ２５０１及び、車両２０に対して行われた不正アクセスの内容が格納されるログ情報詳細２５０２の各項目を有する、１以上のレコードで構成される。
【００８０】
（アラートＤＢ）
続いて、図１４は、アラートＤＢ３４０の一例を示す図である。アラートＤＢ３４０は、アラートの識別子が格納されるアラートＩＤ２７０１、アラートが生成された日時又は時間が格納される発生時間２７０２及び、生成されたアラートの内容が格納されるアラート内容２７０３の各項目を有する、１以上のレコードを有する。
【００８１】
次に、攻撃検出ルール生成フェーズにおける車両不正アクセス情報生成処理の詳細を説明する。
＜車両不正アクセス情報生成処理＞
図１５は、車両不正アクセス情報生成処理の一例を説明するフローチャートである。まず、攻撃検出ルール生成サーバ１００の車両不正アクセス情報生成部２１４は、一般不正アクセス情報を一つ選択する（Ｓ１３０１）。具体的には、例えば、車両不正アクセス情報生成部２１４は、ＩＴシステム攻撃行動ＤＢ２２０からレコードを１つ選択する。
【００８２】
車両不正アクセス情報生成部２１４は、Ｓ１３０１で選択した一般不正アクセス情報（以下、選択一般不正アクセス情報という。）を分析し、そのフェーズを特定する（Ｓ１３０２）。具体的には、例えば、車両不正アクセス情報生成部２１４は、選択一般不正アクセス情報のテキストについて形態素解析等を行うことにより、選択一般不正アクセス情報をロックオンフェーズ、侵入フェーズ、又は目的実行フェーズのいずれかに分類する。
【００８３】
また、車両不正アクセス情報生成部２１４は、選択一般不正アクセス情報を分析し、当該情報における各観点（５Ｗ２Ｈ）の部分を特定する（Ｓ１３０３）。具体的には、例えば、車両不正アクセス情報生成部２１４は、Ｓ１３０１で選択したレコードの行動内容２００２のテキストを、形態素解析等により複数の句、節、又は文章等に分解することにより、そのテキストにおける各観点に係る部分を特定する。
【００８４】
車両不正アクセス情報生成部２１４は、Ｓ１１０１で生成した車両不正アクセス特徴情報を一つ選択する（Ｓ１３０４）。具体的には、例えば、攻撃検出ルール生成サーバ１００は、自動車行動要素ＤＢ２６０からレコードを一つ選択する。
【００８５】
車両不正アクセス情報生成部２１４は、Ｓ１３０２で特定した選択一般不正アクセス情報のフェーズと、Ｓ１３０４で選択した車両不正アクセス特徴情報（以下、選択車両不正アクセス特徴情報という。）のフェーズとが一致するか否かを判定する（Ｓ１３０５）。具体的には、例えば、車両不正アクセス情報生成部２１４は、Ｓ１３０４で選択したレコードの攻撃フェーズ２４０４の内容と、Ｓ１３０２で決定したフェーズとが一致しているか否かを判定する。
【００８６】
選択一般不正アクセス情報のフェーズと選択車両不正アクセス特徴情報のフェーズとが一致する場合は（Ｓ１３０５：ＹＥＳ）、Ｓ１３０５の処理が行われ、選択一般不正アクセス情報のフェーズと選択車両不正アクセス特徴情報のフェーズとが一致しない場合は（Ｓ１３０５：ＮＯ）、車両不正アクセス情報生成部２１４は、新たな車両不正アクセス特徴情報を選択すべくＳ１３０４の処理を行う。
【００８７】
Ｓ１３０６において車両不正アクセス情報生成部２１４は、選択車両不正アクセス特徴情報の観点を、選択一般不正アクセス情報が全て有しているか否かを判定する（Ｓ１３０６）。具体的には、例えば、車両不正アクセス情報生成部２１４は、Ｓ１３０３で特定した観点が、Ｓ１３０４で選択したレコードの５Ｗ要素２４０５が示す観点の全てを含んでいるか否かを判定する。
【００８８】
選択車両不正アクセス特徴情報の観点を、選択一般不正アクセス情報が全て有している場合は（Ｓ１３０６：ＹＥＳ）、Ｓ１３０７の処理が行われ、選択車両不正アクセス特徴情報が有する観点を、選択一般不正アクセス情報が一部でも有していない場合は（Ｓ１３０６：ＮＯ）、車両不正アクセス情報生成部２１４は、他の車両不正アクセス特徴情報を選択すべくＳ１３０４の処理を行う。
【００８９】
Ｓ１３０７において車両不正アクセス情報生成部２１４は、選択車両不正アクセス特徴情報が有する各観点の内容が、これに対応する、選択一般不正アクセス情報の各観点の内容と一致するか否かを判定する。具体的には、例えば、車両不正アクセス情報生成部２１４は、Ｓ１３０４で選択した自動車行動要素ＤＢ２６０のレコードの５Ｗ要素２４０５のそれぞれの観点について、その５Ｗ要素２４０５に対応する変更前内容２４０６のテキストと、Ｓ１３０３で特定した、行動内容２００２のうち当該観点に係る部分のテキストとが一致するか否かを判定する。
【００９０】
選択車両不正アクセス特徴情報が有する各観点の内容が、これに対応する、選択一般不正アクセス情報の各観点の内容と一致する場合は（Ｓ１３０７：ＹＥＳ）、Ｓ１３０８の処理が行われ、選択車両不正アクセス特徴情報が有する各観点の内容のうち、これに対応する、選択一般不正アクセス情報の各観点の内容と一致しないものがある場合は（Ｓ１３０７：ＮＯ）、車両不正アクセス情報生成部２１４は、他の車両不正アクセス特徴情報を選択すべくＳ１３０４の処理を行う。
【００９１】
Ｓ１３０８において車両不正アクセス情報生成部２１４は、選択一般不正アクセス情報の各観点に係る部分を、選択車両不正アクセス特徴情報の対応する各観点に係る部分で置き換えることにより、車両不正アクセス情報を生成（追加）する。具体的には、例えば、車両不正アクセス情報生成部２１４は、自動車攻撃行動ＤＢ２３０に新たなレコードを生成する。そして車両不正アクセス情報生成部２１４は、Ｓ１３０１で選択したＩＴシステム攻撃行動ＤＢ２２０の行動内容２００２のうち、Ｓ１３０４で選択した自動車行動要素ＤＢ２６０の５Ｗ要素２４０５の各観点に係る部分を変更後内容２４０７で置き換えたデータ（すなわち、行動内容２００２の一部を置換したデータ）を生成し、生成したデータを、前記生成したレコードの行動内容２１０２に格納する。
【００９２】
車両不正アクセス情報生成部２１４は、他に選択していない一般不正アクセス情報があるか否かを判定し（Ｓ１３０９）、他に選択していない一般不正アクセス情報がある場合は（Ｓ１３０９：ＹＥＳ）、その一般不正アクセス情報を選択すべくＳ１３０１の処理を実行する。他方、他に選択していない一般不正アクセス情報がない場合は（Ｓ１３０９：ＮＯ）、車両不正アクセス情報生成処理は終了する。
【００９３】
＜自動車攻撃行動表示画面＞
図１６は、攻撃検出ルール生成サーバ１００又は自動車監視サーバ１１０が表示する、生成した車両不正アクセスに関する情報を表示する画面（以下、自動車攻撃行動表示画面という。）の一例を示す図である。自動車攻撃行動表示画面５００には、情報処理装置に対する従来の不正アクセス（一般不正アクセス情報）の内容が表示される第１表示欄５１０と、第１表示欄５１０に表示されている従来の不正アクセスから導かれる、車両２０に対する不正アクセス（車両不正アクセス情報）の内容が表示される第２表示欄５２０とが設けられる。また、自動車攻撃行動表示画面５００には、一般不正アクセス情報及び車両不正アクセス情報が属するフェーズが表示される第３表示欄５３０と、一般不正アクセス情報から車両不正アクセス情報を生成した際に使用された観点が表示される第４表示欄５４０とが設けられる。
【００９４】
以上のように、本実施形態の自動車向け攻撃検知システム１における車両不正アクセス対策装置（攻撃検出ルール生成サーバ１００）は、所定の情報処理装置に対して行われた不正なアクセスの情報である一般不正アクセス情報と、情報処理装置に対する不正アクセスと比較した場合の車両２０に対する不正アクセスの特徴の情報である車両不正アクセス特徴情報とに基づき、車両に対する不正なアクセスの構成の情報である車両不正アクセス情報を生成し、これにより、車両に対する不正アクセスを検知するための情報である車両不正アクセス検出ルールを生成する。すなわち、攻撃検出ルール生成サーバ１００は、情報処理装置に対する一般的な不正アクセスの情報を利用して、車両に対する不正アクセスの特徴から、車両２０に対する不正アクセスを検知するためのルールを生成することができるので、車両２０に対する不正アクセスについての知見が得ることができない状況であっても、一般的な不正アクセスの情報に基づいて、車両２０に対する不正アクセスを適切に検知することができる。
【００９５】
このように、本実施形態の車両不正アクセス対策装置によれば、車両２０に対する不正アクセスを精度よく検知することができる。特に、大量に蓄積されている一般的なＩＴシステムへのサイバー攻撃に関する知見を利用して、車両２０に対するサイバー攻撃をリアルタイムで検出することができるようになる。
【００９６】
以上の実施形態の説明は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれる。
【００９７】
例えば、本実施形態では、車両２０は乗用車であることを前提としたが、貨物自動車等の自動車一般にも適用することができる。また、自動車に限らず、その走行又は動作に関して所定のプログラムを利用する車両一般に対しても適用することができる。
【００９８】
また、本実施形態では、攻撃検出ルール生成サーバ１００は、自動車行動要素ＤＢ２６０から自動車攻撃行動ＤＢ２３０（車両不正アクセス情報）を生成する際に、自動車行動要素ＤＢ２６０に登録されている全ての観点に基づき車両不正アクセス情報を生成するようにしたが、これに対して、攻撃検出ルール生成サーバ１００は、使用する観点の入力を管理者から受け付け、入力を受け付けた観点についてのみ、車両不正アクセス情報を生成するようにしてもよい。また、同様に、攻撃検出ルール生成サーバ１００は、使用するフ
ェーズの入力を管理者から受け付けるようにしてもよい。
【００９９】
また、本実施形態では、攻撃検出ルール生成サーバ１００、自動車監視サーバ１１０、及び外部情報処理装置３０はそれぞれ別々の情報処理装置としたが、これらの一部又は全部を一つの情報処理装置としてもよい。
【０１００】
以上の本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の車両不正アクセス対策装置においては、前記車両の特性を示す情報である車両特性情報を記憶する車両特性情報記憶部と、前記情報処理装置の特性を示す情報である一般装置特性情報を記憶する一般装置特性情報記憶部とを備え、前記車両不正アクセス特徴情報生成部は、前記車両特性情報及び前記一般装置特性情報の間の異同を特定することにより、前記車両不正アクセス特徴情報を生成する、としてもよい。
【０１０１】
このように、車両２０の特性を示す情報である車両特性情報及び、情報処理装置の特性を示す情報である一般装置特性情報の間の異同を特定することにより、車両不正アクセス特徴情報を生成することで、車両２０に対する不正アクセスが有する特徴を正確に抽出することができる。
【０１０２】
また、本実施形態の車両不正アクセス対策装置においては、前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報として、不正アクセスの主体、不正アクセスの対象、不正アクセスの方法、不正アクセスの回数又は頻度、及び、不正アクセスの時期のうち少なくともいずれかの観点の項目の情報を生成し、前記車両不正アクセス情報生成部は、前記受信した一般不正アクセス情報における、前記観点の項目に対応する部分を、前記生成した車両不正アクセス特徴情報における前記観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、としてもよい。
【０１０３】
このように、いわゆる５Ｗ２Ｈの観点からの、車両不正アクセス特徴情報を生成し、これらの情報を一般不正アクセス情報と置換させることで車両不正アクセス情報を生成することにより、車両２０に対する不正アクセスを精度よく検出することが可能となる。
【０１０４】
また、本実施形態の車両不正アクセス対策装置においては、前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報として、不正アクセスの対象を複数の同じ構成の車両とする観点の項目の情報を生成し、前記車両不正アクセス情報生成部は、前記受信した一般不正アクセス情報における、前記観点の項目に対応する項目である、不正アクセスの対象を特定の一台の装置とする観点の項目を、前記生成した車両不正アクセス特徴情報における観点の項目の情報に置き換えることにより、前記車両不正アクセス情報を生成する、としてもよい。
【０１０５】
このように、不正アクセスの対象を複数の同じ構成の車両とするといった、車両への不正アクセスの顕著な特徴部分で、不正アクセスの対象を特定の一台の車両とするといった、一般的な不正アクセスの顕著な特徴部分を置き換えることにより、車両への不正アクセスを確実に検出することができる。
【０１０６】
また、本実施形態の車両不正アクセス対策装置においては、前記車両不正アクセス特徴情報生成部は、前記車両不正アクセス特徴情報を、不正アクセスの対象を決定する第１フェーズ、不正アクセスの対象にデータを送信する第２フェーズ及び、不正アクセスの対象に所定の処理を行わせる第３フェーズにおける不正アクセスの情報のいずれかに分類し、前記車両不正アクセス情報生成部は、前記分類した車両不正アクセス特徴情報のフェーズと、前記受信した一般不正アクセス情報のフェーズとが一致する場合に、一致したフェーズにおける車両不正アクセス情報を生成する、としてもよい。
【０１０７】
このように、車両不正アクセス情報を、不正アクセスの対象の決定段階、不正アクセスへの侵入段階、及び、不正アクセスの対象に対する所定の処理を行わせる目的実行段階に対応した情報とすることにより、車両２０への不正アクセスをより早期に検出することが可能となる。
【０１０８】
また、本実施形態の車両不正アクセス対策装置においては、前記車両不正アクセス検出ルール生成部は、前記生成した車両不正アクセス情報と、前記受信した一般不正アクセス情報とを合成し、合成した情報に基づき前記車両不正アクセス検出ルールを生成する、としてもよい。
【０１０９】
このように、車両不正アクセス情報と一般不正アクセス情報とを合成した車両不正アクセス検出ルールを生成することで、車両２０に、車両特有のプログラムだけでなく一般的なＩＴシステムに関するプログラムが組み込まれている場合でも、車両２０に対する不正アクセスを検出できるようになる。
【０１１０】
また、本実施形態の車両不正アクセス対策装置においては、前記受信した一般不正アクセス情報の内容と、前記生成した車両不正アクセス情報の内容とを出力する情報出力部を備える、としてもよい。
【０１１１】
このように、一般不正アクセス情報の内容と、生成した車両不正アクセス情報の内容とを出力することで、管理者は、車両２０に対する不正アクセスと一般的な不正アクセスとの間の異同を把握することができる。
【符号の説明】
【０１１２】
１  自動車向け攻撃検知システム、１０  インシデント管理システム、１００  攻撃検出ルール生成サーバ、２０  車両、３０  外部情報処理装置、２１１  一般不正アクセス情報受信部、２１３  車両不正アクセス特徴情報生成部、２１４  車両不正アクセス情報生成部、２１６  車両不正アクセス検出ルール生成部
【図１】
2020017065.tif 000003
【図２】
2020017065.tif 000004
【図３】
2020017065.tif 000005
【図４】
2020017065.tif 000006
【図５】
2020017065.tif 000007
【図６】
2020017065.tif 000008
【図７】
2020017065.tif 000009
【図８】
2020017065.tif 000010
【図９】
2020017065.tif 000011
【図１０】
2020017065.tif 000012
【図１１】
2020017065.tif 000013
【図１２】
2020017065.tif 000014
【図１３】
2020017065.tif 000015
【図１４】
2020017065.tif 000016
【図１５】
2020017065.tif 000017
【図１６】
2020017065.tif 000018