(57)【要約】【課題】複数の情報処理装置を有する物体の情報処理装置への攻撃を監視することができるセキュリティ監視のためのシステムを提供する。【解決手段】第１ネットワークとは異なる第２ネットワークを介して１以上の物体それぞれから取得されることにより、１以上の物体が有する複数の情報処理装置それぞれで発生したログを記憶する移動体ログＤＢ１１と、１以上の物体が有する複数の情報処理装置それぞれに関する解析支援情報を記憶している解析支援情報ＤＢ１３と、移動体ログＤＢ１１が記憶する一の物体についての２以上のログと、解析支援情報ＤＢ１３が記憶する解析支援情報であって一の物体が有する複数の情報処理装置に関する解析支援情報とを対照することで、２以上のログそれぞれが、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定し、判定結果を出力する攻撃判定装置とを備える。【選択図】図２
2019102023.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワークで接続された複数の情報処理装置を有する１以上の物体の情報処理装置に対する攻撃を監視するセキュリティ監視のためのシステムであって、
第１ネットワークとは異なる第２ネットワークを介して前記１以上の物体それぞれから取得されることにより、前記１以上の物体が有する複数の情報処理装置それぞれで発生したログを記憶する第１記憶装置と、
前記１以上の物体が有する複数の情報処理装置それぞれに対する攻撃を判定するために用いられる解析支援情報であって前記複数の情報処理装置それぞれに関する解析支援情報を記憶している第２記憶装置と、
前記第１記憶装置が記憶する一の物体についての２以上のログと、前記第２記憶装置が記憶する解析支援情報であって前記一の物体が有する複数の情報処理装置に関する解析支援情報とを対照することで、前記２以上のログそれぞれが、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定し、判定結果を出力する攻撃判定装置とを備える、
システム。
【請求項２】
前記解析支援情報は、前記複数の情報処理装置それぞれに関する設計情報を少なくとも含む、
請求項１に記載のシステム。
【請求項３】
前記解析支援情報は、さらに、前記１以上の物体それぞれの仕様および前記１以上の物体それぞれの状態を含む、
請求項２に記載のシステム。
【請求項４】
前記解析支援情報は、前記２以上のログそれぞれに記載される事象の発生条件と、当該発生条件が正しいか否かを識別するための条件を示す判断情報とで構成される、
請求項２または３に記載のシステム。
【請求項５】
前記攻撃判定装置は、前記２以上のログそれぞれから、前記判断情報に示される条件を満たすか否かを判断するための情報を抽出し、前記判断情報と対照することで、前記攻撃であるか否かを判定する、
請求項４に記載のシステム。
【請求項６】
前記攻撃判定装置は、前記２以上のログそれぞれから特徴を抽出し、抽出した前記特徴の統計情報を前記判断するための情報とすることで、前記２以上のログそれぞれから、当該情報を抽出する、
請求項５に記載のシステム。
【請求項７】
前記攻撃判定装置は、前記第２記憶装置が記憶する解析支援情報から、前記２以上のログのそれぞれに対応する情報処理装置についての解析支援情報を抽出し、
前記２以上のログと、抽出した前記解析支援情報とを対照することで、前記２以上のログそれぞれに示される事象が、前記対応する情報処理装置において設計上発生する事象かどうかに応じて、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定する、
請求項１〜６のいずれか１項に記載のシステム。
【請求項８】
前記攻撃判定装置は、前記２以上のログのうちの１以上のログが、当該１以上のログに対応する情報処理装置に対する攻撃であることを判定した場合、前記２以上のログのうちの少なくとも一のログが当該少なくとも一のログに対応する情報処理装置に対する攻撃であることを判定できないときには、当該少なくとも一のログが、当該少なくとも一のログに対応する情報処理装置に対する攻撃であると推定する、
請求項１〜７のいずれか１項に記載のシステム。
【請求項９】
さらに、
前記攻撃判定装置により、前記２以上のログそれぞれが、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であると判定された場合、判定された攻撃内容と、前記２以上のログそれぞれが発生した時刻とを、前記２以上のログに対応する位置に表示する表示画面である攻撃シナリオ表示画面を生成する攻撃シナリオ表示生成装置とを備え、
前記攻撃シナリオ表示生成装置は、ディスプレイに生成した攻撃シナリオ表示画面を出力する、
請求項１〜８のいずれか１項に記載のシステム。
【請求項１０】
前記攻撃シナリオ表示生成装置は、前記攻撃シナリオ表示画面として、前記判定された攻撃内容と、前記２以上のログそれぞれが発生した時刻とを、前記一の物体が有する前記第１ネットワークで接続された前記複数の情報処理装置を示す物体ネットワーク構成図のうち対応する情報処理装置の位置に対応づけた表示画面を出力する、
請求項９に記載のシステム。
【請求項１１】
前記攻撃シナリオ表示生成装置は、前記攻撃シナリオ表示画面として、前記判定された攻撃内容と、前記２以上のログのそれぞれに対応する情報処理装置とを、前記２以上のログのそれぞれが発生した時刻ごとに時系列で表示した表示画面を出力する、
請求項９に記載のシステム。
【請求項１２】
さらに、
前記１以上の物体を備え、
前記攻撃判定装置と前記１以上の物体とは、前記第２ネットワークで接続されている、
請求項１〜１１のいずれか１項に記載のシステム。
【請求項１３】
第１ネットワークで接続された複数の情報処理装置を有する１以上の物体の情報処理装置に対する攻撃を監視するセキュリティ監視のための方法であって、
第１ネットワークとは異なる第２ネットワークを介して前記１以上の物体それぞれから取得されることにより、前記１以上の物体が有する複数の情報処理装置それぞれで発生したログを第１記憶装置に記憶する記憶ステップと、
前記１以上の物体が有する複数の情報処理装置それぞれに対する攻撃を判定するために用いられる解析支援情報であって前記複数の情報処理装置それぞれに関する解析支援情報を記憶する第２記憶装置から解析支援情報を抽出する抽出ステップと、
前記第１記憶装置が記憶する一の物体についての２以上のログと、前記抽出ステップにおいて抽出した解析支援情報であって前記一の物体が有する複数の情報処理装置に関する解析支援情報とを対照することで、前記２以上のログそれぞれが、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定し、判定結果を出力する判定ステップとを含む、
方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、システム及び方法に関し、特にセキュリティ監視のためのシステム及び方法に関する。
【背景技術】
【０００２】
近年、自動車等の移動体では、アクセル、ハンドル、ブレーキなどのアクチュエータを電子制御可能な複数の情報処理装置が移動体ネットワークに繋がりつつある。また、このような移動体では、３Ｇデータ通信など外部接続が可能になってきている。
【０００３】
このため、外部接続を行うインターフェースを侵入口として、移動体の制御を行うなど、移動体がハッカーの攻撃対象となるおそれが生じている。
【０００４】
それに対して、車載ネットワーク内の通信ログ等のイベントログを収集する技術がある（例えば特許文献１参照）。そして、収集したイベントログを解析者に情報提示することで、それらを基に脅威となる事象を把握するセキュリティシステムが考えられている（SIEM：Security Information and Event Management）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１７−１９２０８２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、収集されたイベントログ単体では、解析者は、移動体および当該移動体に準じる物体に対するハッカーの攻撃であるか、単なる装置の故障であるか、ユーザの誤操作であるかを判断することができないという問題がある。
【０００７】
本開示は、上述の事情を鑑みてなされたもので、複数の情報処理装置を有する物体の情報処理装置への攻撃を監視することができるセキュリティ監視のためのシステム及び方法を提供する。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、本開示発明の一態様に係るシステムは、第１ネットワークで接続された複数の情報処理装置を有する１以上の物体の情報処理装置に対する攻撃を監視するセキュリティ監視のためのシステムであって、第１ネットワークとは異なる第２ネットワークを介して前記１以上の物体それぞれから取得されることにより、前記１以上の物体が有する複数の情報処理装置それぞれで発生したログを記憶する第１記憶装置と、前記１以上の物体が有する複数の情報処理装置それぞれに対する攻撃を判定するために用いられる解析支援情報であって前記複数の情報処理装置それぞれに関する解析支援情報を記憶している第２記憶装置と、前記第１記憶装置が記憶する一の物体についての２以上のログと、前記第２記憶装置が記憶する解析支援情報であって前記一の物体が有する複数の情報処理装置に関する解析支援情報とを対照することで、前記２以上のログそれぞれが、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定し、判定結果を出力する攻撃判定装置とを備える。
【０００９】
この構成によれば、一つの物体が有する複数の情報処理装置を経由する攻撃を受けたか否かを判定することができるので、複数の情報処理装置を有する物体の情報処理装置への攻撃を監視することができる。
【００１０】
ここで、例えば、前記解析支援情報は、前記複数の情報処理装置それぞれに関する設計情報を少なくとも含む。
【００１１】
また、例えば、前記解析支援情報は、さらに、前記１以上の物体それぞれの仕様および前記１以上の物体それぞれの状態を含むとしてもよい。
【００１２】
また、例えば、前記解析支援情報は、前記２以上のログそれぞれに記載される事象の発生条件と、当該発生条件が正しいか否かを識別するための条件を示す判断情報とで構成されるとしてもよい。
【００１３】
また、例えば、前記攻撃判定装置は、前記２以上のログそれぞれから、前記判断情報に示される条件を満たすか否かを判断するための情報を抽出し、前記判断情報と対照することで、前記攻撃であるか否かを判定するとしてもよい。
【００１４】
また、例えば、前記攻撃判定装置は、前記２以上のログそれぞれから特徴を抽出し、抽出した前記特徴の統計情報を前記判断するための情報とすることで、前記２以上のログそれぞれから、当該情報を抽出するとしてもよい。
【００１５】
また、例えば、前記攻撃判定装置は、前記第２記憶装置が記憶する解析支援情報から、前記２以上のログのそれぞれに対応する情報処理装置についての解析支援情報を抽出し、前記２以上のログと、抽出した前記解析支援情報とを対照することで、前記２以上のログそれぞれに示される事象が、前記対応する情報処理装置において設計上発生する事象かどうかに応じて、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定するとしてもよい。
【００１６】
また、例えば、前記攻撃判定装置は、前記２以上のログのうちの１以上のログが、当該１以上のログに対応する情報処理装置に対する攻撃であることを判定した場合、前記２以上のログのうちの少なくとも一のログが当該少なくとも一のログに対応する情報処理装置に対する攻撃であることを判定できないときには、当該少なくとも一のログが、当該少なくとも一のログに対応する情報処理装置に対する攻撃であると推定するとしてもよい。
【００１７】
また、例えば、さらに、前記攻撃判定装置により、前記２以上のログそれぞれが、前記２以上のログのそれぞれに対応する情報処理装置に対する攻撃であると判定された場合、判定された攻撃内容と、前記２以上のログそれぞれが発生した時刻とを、前記２以上のログに対応する位置に表示する表示画面である攻撃シナリオ表示画面を生成する攻撃シナリオ表示生成装置とを備え、前記攻撃シナリオ表示生成装置は、ディスプレイに生成した攻撃シナリオ表示画面を出力するとしてもよい。
【００１８】
また、例えば、前記攻撃シナリオ表示生成装置は、前記攻撃シナリオ表示画面として、前記判定された攻撃内容と、前記２以上のログそれぞれが発生した時刻とを、前記一の物体が有する前記第１ネットワークで接続された前記複数の情報処理装置を示す物体ネットワーク構成図のうち対応する情報処理装置の位置に対応づけた表示画面を出力するとしてもよい。
【００１９】
また、例えば、前記攻撃シナリオ表示生成装置は、前記攻撃シナリオ表示画面として、前記判定された攻撃内容と、前記２以上のログのそれぞれに対応する情報処理装置とを、前記２以上のログのそれぞれが発生した時刻ごとに時系列で表示した表示画面を出力するとしてもよい。
【００２０】
また、例えば、さらに、前記１以上の物体を備え、前記攻撃判定装置と前記１以上の物体とは、前記第２ネットワークで接続されているとしてもよい。
【００２１】
なお、これらの包括的または具体的な態様は、システム、方法、集積回路、コンピュータプログラムまたはコンピュータで読み取り可能なＣＤ−ＲＯＭなどの記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。
【発明の効果】
【００２２】
本開示のシステム及び方法によれば、複数の情報処理装置を有する物体の情報処理装置への攻撃を監視することができる。
【図面の簡単な説明】
【００２３】
【図１】図１は、実施の形態に係るシステムの概要を示す図である。
【図２】図２は、実施の形態に係るシステムの機能構成の一例を示す図である。
【図３Ａ】図３Ａは、実施の形態に係る移動体の機能構成の一例を示す図である。
【図３Ｂ】図３Ｂは、図３Ａに示す移動体の一態様を示す図である。
【図４Ａ】図４Ａは、実施の形態に係る移動体が送信するログの一例を示す図である。
【図４Ｂ】図４Ｂは、実施の形態に係る移動体が送信するログの一例を示す図である。
【図５】図５は、実施の形態に係る攻撃分析装置の機能構成の一例を示す図である。
【図６】図６は、実施の形態に係る攻撃判定部が抽出した解析支援情報の一例を示す図である。
【図７Ａ】図７Ａは、実施の形態に係る攻撃シナリオ表示生成部が生成した攻撃シナリオ表示画面の一例を示す図である。
【図７Ｂ】図７Ｂは、実施の形態に係る攻撃シナリオ表示生成部が生成した攻撃シナリオ表示画面の一例を示す図である。
【図８】図８は、実施の形態に係る解析支援情報ＤＢが記憶する解析支援情報の一例を示す図である。
【図９】図９は、実施の形態に係る攻撃ログＤＢが記憶する攻撃ログの一例を示す図である。
【図１０Ａ】図１０Ａは、実施の形態に係る表示装置に表示される攻撃シナリオ表示画面の一態様を示す図である。
【図１０Ｂ】図１０Ｂは、実施の形態に係る表示装置に表示される攻撃シナリオ表示画面の一態様を示す図である。
【図１１Ａ】図１１Ａは、図７Ａに示される攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報を示す図である。
【図１１Ｂ】図１１Ｂは、図７Ｂに示される攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報を示す図である。
【図１２Ａ】図１２Ａは、図１１Ａに示される攻撃シナリオ表示画面の一態様を示す図である。
【図１２Ｂ】図１２Ｂは、図１１Ｂに示される攻撃シナリオ表示画面の一態様を示す図である。
【図１３】図１３は、実施の形態に係るセキュリティ監視システムの動作を示すフローチャートである。
【図１４】図１４は、図１３に示すステップＳ３０の詳細動作を示すフローチャートである。
【図１５】図１５は、実施の形態に係るセキュリティ監視システムの攻撃推定処理の一例を示すフローチャートである。
【図１６】図１６は、その他の実施の形態に係る攻撃分析装置の機能構成の一例を示す図である。
【図１７】図１７は、その他の実施の形態に係る攻撃分析装置の動作を示すフローチャートである。
【発明を実施するための形態】
【００２４】
以下、本開示の実施の形態について、図面を参照して詳細に説明する。なお、以下に説明する実施の形態は一例であり、本開示はこれらの実施の形態により限定されるものではない。つまり、以下で説明する実施の形態は、いずれも包括的または具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序などは、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。
【００２５】
また、各図は、模式図であり、必ずしも厳密に図示されたものではない。また、各図において、同じ構成部材については同じ符号を付している。
【００２６】
（実施の形態）
［システム１］
図１は、本実施の形態に係るシステム１の概要を示す図である。図２は、本実施の形態に係るシステム１の機能構成の一例を示す図である。
【００２７】
本実施の形態に係るシステム１は、第１ネットワークで接続された複数の情報処理装置を有する１以上の物体の情報処理装置に対する攻撃を監視するセキュリティ監視のためのシステムである。
【００２８】
システム１は、例えば図１および図２に示すように、セキュリティ監視システム１０と、１以上の移動体（移動体１１０、１２０）とを備える。セキュリティ監視システム１０および１以上の移動体とは、ネットワーク２０で接続されている。
【００２９】
［ネットワーク２０］
ネットワーク２０は、第２ネットワークの一例であり、例えばインターネットなどの公衆網である。また、ネットワーク２０は、通信事業者の公衆回線を経由して構築された仮想的な組織内ネットワークであるＶＰＮ（Virtual Private Network）であってもよい。
【００３０】
［移動体１１０］
１以上の移動体はいずれも同様の構成である。そのため、以下では、移動体１１０の構成について説明する。
【００３１】
図３Ａは、本実施の形態に係る移動体１１０の機能構成の一例を示す図である。図３Ｂは、図３Ａに示す移動体１１０の一態様を示す図である。図３Ｂには、移動体１１０の一態様として、自動車１１０ａが示されている。図４Ａおよび図４Ｂは、本実施の形態に係る移動体１１０が送信するログ（移動体ログ）の一例を示す図である。
【００３２】
移動体１１０は、第１ネットワークで接続された複数の情報処理装置を有する。移動体１１０は、例えば図２に示すように、情報処理装置１１１と、情報処理装置１１２と、情報処理装置１１３とを備え、これらはネットワーク１１４で接続されている。
【００３３】
移動体１１０は、例えば図３Ｂに示すように、ＩＶＩ１１１ａと、ＧＷ１１２ａと、ＣＡＮ１１３ａと、ＣＡＮ１１３ａに接続されている電子制御ユニットであるＥＣＵ１１３１ａ、１１３２ａとなどの複数の情報処理装置が接続された自動車１１０ａである。
【００３４】
なお、本実施の形態における移動体１１０は、自動車に限らず、船舶、飛行機等の車両、ドローンなどであってもよい。すなわち、本実施の形態における移動体１１０は、インターネットなどのネットワークに接続可能であり、移動体１１０が有する複数の情報処理装置の構成等が設計上分かるものであればよい。
【００３５】
また、移動体１１０は、システム１のセキュリティ監視の対象となる１以上の物体の一例である。換言すると、本開示が対象とするのは移動体に限らず、移動体と同様の物体であってもよい。より具体的には、１以上の物体は、自動車等の移動体と同様に、インターネットなどのネットワークに接続可能であり、当該物体が有する複数の情報処理装置の構成等が設計上分かるものであればよい。
【００３６】
このような物体としては、例えば、産業ロボット、建設ロボットなど複数のアクチュエータを有しネットワークに接続可能なロボットが挙げられる。また、このような物体としては、複数のデジタル機器（TV、VIDEO、オーディオ機器等）がネットワークを介してつながり、かつインターネットなどのネットワークに接続可能な音響映像システムが挙げられる。また、このような物体としては、複数のPLC(Programmable Logic Controller)がネットワークを介してつながり、かつインターネットなどのネットワークに接続可能な工場システムが挙げられる。
【００３７】
なお、以下では１以上の物体の一例として１以上の移動体を例に挙げて説明する。
【００３８】
＜ネットワーク１１４＞
ネットワーク１１４は、第１ネットワークの一例であり、第２ネットワークであるネットワーク２０とは異なる。ネットワーク１１４は、例えば図２および図３Ａに示すように、情報処理装置１１１、情報処理装置１１２および情報処理装置１１３等がネットワークケーブルで接続されたものである。ネットワーク１１４は、移動体１１０内で発生したイベント（事象）に関する情報のやり取りを行う移動体１１０内のネットワークであり、以降では、移動体ネットワークとも称する。なお、図２および図３Ａに示すネットワーク１１４の構成は一例であり、本構成に限定されるものではない。
【００３９】
ネットワーク１１４は、例えば図３Ｂに示すように、自動車１１０ａの車載ネットワーク１１４ａであってもよい。
【００４０】
＜情報処理装置１１１＞
情報処理装置１１１は、移動体１１０が有する複数の情報処理装置の一つである。情報処理装置１１１は、テレマティクスもしくはインターネットに接続できる機能、移動体１１０に搭乗する人への情報提供などの情報要素を実現する機能、移動体１１０に搭乗する人の娯楽要素を実現する機能を有する。また、情報処理装置１１１は、これらの機能を実現した際に当該情報処理装置１１１で発生したログを取得できる機能を有する。
【００４１】
情報処理装置１１１は、図３Ａに示すように、例えばログ送信部１１１１を有し、当該情報処理装置１１１で発生したログ（移動体ログ）をログ送信部１１１１を介してセキュリティ監視システム１０に送信する。より具体的には、ログ送信部１１１１は、当該情報処理装置１１１で発生したイベント（事象）の発生日時とそのイベント内容（事象の内容）を示す移動体ログ内容とを、当該情報処理装置１１１で発生した移動体ログとしてセキュリティ監視システム１０に送信する。その際に、ログ送信部１１１１は、発生日時および移動体ログ内容を一意に識別するＩＤ（移動体ログＩＤ）と、移動体１１０を一意に識別するＩＤ（移動体ＩＤ）と、情報処理装置１１１を一意に識別するための名称（またはＩＤ）とを付与してセキュリティ監視システム１０に送信する。
【００４２】
なお、移動体ログＩＤ、移動体ＩＤおよび情報処理装置１１１を一意に識別するための名称（またはＩＤ）は、情報処理装置１１１により付与されなくてもよく、セキュリティ監視システム１０側で付与してもよい。
【００４３】
また、情報処理装置１１１は、例えば図３Ｂに示すように、自動車１１０ａの車載インフォテインメントであるＩＶＩ１１１ａであってもよい。ＩＶＩ１１１ａは、例えば、カーオーディオ、車載ＤＶＤ、ＴＶチューナーなどの娯楽要素を実現する機能、並びに、経路案内（カーナビゲーションシステム）および道路交通情報の表示などの情報要素を実現する機能を有する。さらに、ＩＶＩ１１１ａは、これらの機能を実行することで発生するイベント（事象）に関するログ（移動体ログ）をセキュリティ監視システム１０に送信する。
【００４４】
＜情報処理装置１１２＞
情報処理装置１１２は、移動体１１０が有する複数の情報処理装置の一つである。情報処理装置１１２は、移動体１１０の外部との通信を行う機能を実現する機能、並びに、当該機能を実現した際に当該情報処理装置１１１で発生したログおよびネットワーク１１４を行き交うパケット等の移動体ネットワークログを取得できる機能を有する。
【００４５】
また、情報処理装置１１２は、本実施の形態では、図３Ａに示すように、例えばログ送信部１１２１を有し、当該情報処理装置１１２で発生したログ（移動体ログ）をログ送信部１１２１を介してセキュリティ監視システム１０に送信する。
【００４６】
より具体的には、ログ送信部１１２１は、当該情報処理装置１１２で発生したイベント（事象）の発生日時とそのイベント内容（事象内容）を示す移動体ログ内容とを、当該情報処理装置１１２で発生した移動体ログとしてセキュリティ監視システム１０に送信する。その際に、ログ送信部１１２１は、発生日時および移動体ログ内容を一意に識別するＩＤ（移動体ログＩＤ）と、移動体１１０を一意に識別するＩＤ（移動体ＩＤ）と、情報処理装置１１２を一意に識別するための名称（またはＩＤ）とを付与してセキュリティ監視システム１０に送信する。移動体ログ内容には、移動体ネットワークログが含まれてもよい。
【００４７】
なお、移動体ログＩＤ、移動体ＩＤおよび情報処理装置１１１を一意に識別するための名称（またはＩＤ）は、情報処理装置１１２により付与されなくてもよく、セキュリティ監視システム１０側で付与してもよい。
【００４８】
また、情報処理装置１１２は、例えば図３Ｂに示すように、自動車１１０ａにおいてＣＡＮ１１３ａと外部との通信を行うためゲートウェイであるＧＷ１１２ａであってもよい。ＧＷ１１２ａは、自動車１１０ａの外部のネットワーク２０と通信を行うためのプロトコル変換を行う装置である。ＧＷ１１２ａは、車載ネットワーク１１４ａを行き交うパケットに関するログ、並びに、他の情報処理装置であるＩＶＩ１１１ａ、ＣＡＮ１１３ａおよびＥＣＵ１１３１ａ、１１３２ａにより送信されたログを適切にプロトコル変換する。ＧＷ１１２ａは、これらのログをプロトコル変換した移動体ログを、ネットワーク２０を介してセキュリティ監視システム１０に送信する。
【００４９】
ここで、情報処理装置１１２の一例であるＧＷ１１２ａは、図４Ａまたは図４Ｂに示すような情報処理装置１１２で発生した移動体ログをセキュリティ監視システム１０に送信してもよい。すなわち、イベント（事象）がＧＷ１１２ａのファーム更新である場合には、移動体ログ内容には、図４Ａに示すように、イベントが成功し、正常なログであることを示す「ファーム更新成功」を含む移動体ログをセキュリティ監視システム１０に送信してもよい。また、移動体ログ内容には、図４Ｂに示すように、イベントが失敗し、非正常なログであることを示す「ファーム不正書き換え」を含む移動体ログをセキュリティ監視システム１０に送信してもよい。
【００５０】
＜情報処理装置１１３＞
情報処理装置１１３は、移動体１１０が有する複数の情報処理装置の一つである。情報処理装置１１３は、情報処理装置１１２と通信を行える機能を有し、移動体１１０のアクチュエータなどの駆動系を制御可能な情報処理装置群がさらに接続されている。
【００５１】
情報処理装置１１３は、駆動系等を制御可能な情報処理装置群と通信し、情報処理装置群からのログを取得して、情報処理装置１１２に送信する機能を有する。また、情報処理装置１１３は、これらの機能を実現した際に当該情報処理装置１１３で発生したログを取得できる機能を有する。
【００５２】
情報処理装置１１３は、本実施の形態では、図３Ａに示すように、例えばログ送信部１１３１を有し、当該情報処理装置１１３で発生したログ（移動体ログ）をログ送信部１１３１を介してセキュリティ監視システム１０に送信する。
【００５３】
なお、ログ送信部１１３１がセキュリティ監視システム１０に送信する移動体ログについては、ログ送信部１１１１等と同様のため説明を省略する。
【００５４】
また、情報処理装置１１３は、例えば図３Ｂに示すように、エンジン制御を始め自動車１１０ａの走行制御等を行うECU（Electronic Control Unit）群のCAN（Controller Area Network）を構成する情報処理装置であるＣＡＮ１１３ａであってもよい。ECU群は上記の情報処理装置群の一例である。また、ECU群は、例えば、エンジン制御の他、トランスミッション制御、ブレーキ制御を電子制御可能な制御装置である。
【００５５】
ＣＡＮ１１３ａは、自動車１１０ａの車載アプリケーションを構成する各システムおよびセンサをシリアル接続する。図３Ｂに示す例では、ＣＡＮ１１３ａは、ＥＣＵ１１３１ａ、ＥＣＵ１１３２ａといったＥＣＵ群とシリアル接続され、ＥＣＵ１１３１ａ、ＥＣＵ１１３２ａで発生したログまたは、ＣＡＮ１１３ａで発生したログを、移動体ログとしてＧＷ１１２ａに送信することで、セキュリティ監視システム１０に送信する。
【００５６】
なお、移動体１１０では、情報処理装置１１１〜情報処理装置１１３のそれぞれがセキュリティ監視システム１０に移動体ログを送信するとしてもよい。また、移動体１１０では、情報処理装置１１２が情報処理装置１１１〜情報処理装置１１３の移動体ログをまとめて一定期間ごとにセキュリティ監視システム１０に送信するとしてもよい。
【００５７】
［セキュリティ監視システム１０］
次に、セキュリティ監視システム１０の構成について説明する。
【００５８】
セキュリティ監視システム１０は、セキュリティ監視を行うシステムであって、第１ネットワークで接続された複数の情報処理装置を有する１以上の物体の情報処理装置に対する攻撃を監視する。セキュリティ監視システム１０は、例えば図５に示すように、移動体ログＤＢ１１と、攻撃分析装置１２と、解析支援情報ＤＢ１３と、攻撃ログＤＢ１４と、表示装置１５とを備える。
【００５９】
＜移動体ログＤＢ１１＞
移動体ログＤＢ１１は、第１ネットワークとは異なる第２ネットワークを介して１以上の移動体それぞれから取得されることにより、１以上の物体が有する複数の情報処理装置それぞれで発生したログ（移動体ログ）を記憶する第１記憶装置である。
【００６０】
図２および図５に示す例では、移動体ログＤＢ１１は、ネットワーク１１４とは異なるネットワーク２０を介して、移動体１１０および移動体１２０それぞれから取得された移動体ログを記憶する。また、移動体ログＤＢ１１は、攻撃分析装置１２と接続されており、記憶する移動体ログを攻撃分析装置１２に提供する機能を有する。
【００６１】
移動体ログＤＢ１１は、例えば図４Ａおよび図４Ｂに示されるようなデータ形式でログ（移動体ログ）を記憶する。移動体ログには、図４Ａおよび図４Ｂに示す例の他、システムログ、セキュリティログ、ネットワークログを示す移動体ログ内容を含んでもよい。
【００６２】
なお、図２および図５に示す例では、移動体ログＤＢ１１は、セキュリティ監視システム１０が有するネットワークを介して攻撃分析装置１２と接続されているが、これに限らない。移動体ログＤＢ１１は、攻撃分析装置１２とネットワーク２０を介して接続されてもよい。
【００６３】
また、図２には、移動体ログＤＢ１１は、攻撃分析装置１２によりネットワーク２０を介して、移動体１１０および移動体１２０それぞれから取得された移動体ログを記憶する場合の一例が示されているが、これに限らない。移動体ログＤＢ１１は自らネットワーク２０を介して、移動体１１０および移動体１２０それぞれから取得した移動体ログを記憶するとしてもよい。また、移動体ログＤＢ１１はクラウドを構成し、攻撃分析装置１２とは独立した装置であってもよい。
【００６４】
＜攻撃分析装置１２＞
攻撃分析装置１２は、一の移動体が複数の情報処理装置を経由する攻撃を受けたか否かを分析するための装置である。
【００６５】
図５は、本実施の形態に係る攻撃分析装置１２の機能構成の一例を示す図である。
【００６６】
攻撃分析装置１２は、図５に示すように、ログ収集部１２１と、攻撃判定部１２２と、攻撃シナリオ表示生成部１２３とを備える。
【００６７】
≪ログ収集部１２１≫
ログ収集部１２１は、複数の情報処理装置を有する１以上の移動体のログを収集する。図５に示す例では、ログ収集部１２１は、ネットワーク２０を介して、移動体１１０および移動体１２０それぞれから移動体ログを取得し、移動体ログＤＢ１１に記憶させる。
【００６８】
ログ収集部１２１は、例えば図４Ａおよび図４Ｂに示されるように、正常なログおよび非正常なログを含む１以上の移動体の移動体ログすべてを収集してもよいし、図４Ｂに示されるような非正常な移動体ログのみを収集してもよい。
【００６９】
≪攻撃判定部１２２≫
攻撃判定部１２２は、攻撃判定装置の一例である。攻撃判定部１２２は、第１記憶装置が記憶する一の物体についての２以上のログと、第２記憶装置が記憶する解析支援情報であって一の物体が有する複数の情報処理装置に関する解析支援情報とを対照する。攻撃判定部１２２は、このように対照することで、２以上のログそれぞれが、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定し、判定結果を出力する。
【００７０】
より具体的には、攻撃判定部１２２は、第２記憶装置が記憶する解析支援情報から、２以上のログのそれぞれに対応する情報処理装置についての解析支援情報を抽出する。そして、攻撃判定部１２２は、２以上のログと、抽出した解析支援情報とを対照することで、当該２以上のログそれぞれに示される事象が、対応する情報処理装置において設計上発生する事象かどうかに応じて、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定する。
【００７１】
例えば、解析支援情報は、２以上のログそれぞれに記載される事象の発生条件と、当該発生条件が正しいか否かを識別するための条件を示す判断情報とで構成される。この場合、攻撃判定部１２２は、２以上のログそれぞれから、判断情報に示される条件を満たすか否かを判断するための情報を抽出し、判断情報と対照することで、攻撃であるか否かを判定してもよい。なお、攻撃判定部１２２は、２以上のログそれぞれから特徴を抽出し、抽出した当該特徴の統計情報を判断するための情報とすることで、２以上のログそれぞれから、当該情報を抽出してもよい。
【００７２】
図２および図５に示す例では、攻撃判定部１２２は、移動体ログＤＢ１１から例えば移動体１１０の２以上の移動体ログを取得し、解析支援情報ＤＢ１３から移動体１１０が有する情報処理装置１１１〜１１３に関する設計情報を含む解析支援情報を抽出する。攻撃判定部１２２は、２以上の移動体ログと、抽出した解析支援情報とを付き合わせることで、２以上の移動体ログそれぞれに示される事象が、対応する情報処理装置において設計上発生する事象かどうかを判定する。そして、攻撃判定部１２２は、移動体ログに示される事象が設計上発生する事象でないと判定した場合には、対応する情報処理装置に対してハッカーの攻撃がされていると判定し、判定結果として推定した攻撃内容である攻撃判定内容とともに攻撃ログＤＢ１４に記憶させる。
【００７３】
なお、攻撃判定内容となる候補すなわち攻撃判定内容候補は、解析支援情報ＤＢ１３から抽出した解析支援情報に含まれているとしてもよいし、解析支援情報から、推定するとしてもよい。また、判定結果は、攻撃判定内容を示す場合に限らず、移動体１１０に対する攻撃可能性または移動体１１０が有する複数の情報処理装置の異常度を示すとしてもよい。
【００７４】
図６は、本実施の形態に係る攻撃判定部１２２が抽出した解析支援情報の一例を示す図である。
【００７５】
図６では、攻撃判定部１２２が、図４Ｂに示す移動体ログＩＤ「Ｅ０００１」の非正常ログを含む移動体ログを取得し、移動体ログＩＤ「Ｅ０００１」に対応する移動体１１０の情報処理装置１１２の解析支援情報を抽出した場合の例が示されている。図６に示される解析支援情報は、移動体ログ内容に示される事象の発生条件とその判断情報とで構成されている。また、図６には、抽出した解析支援情報を用いて判定することができる攻撃判定内容候補がさらに示されている。
【００７６】
図６において、発生条件「ファーム更新期間内」は、移動体１１０の情報処理装置１１２の設計情報から得られる移動体ログ内容に示される事象の発生条件を示しており、情報処理装置１１２に予め設定され固定的なものである。また、判断情報「期間内ｏｒ期間外」は、当該発生条件が正しいか否かを識別するための条件を示し、移動体１１０の情報処理装置１１２において設計上発生する事象であるか否かに対応する。判断情報は、移動体ログ等から取得する静的または動的なものである。
【００７７】
そして、攻撃判定部１２２は、図６に示す解析支援情報と、図４Ｂに示す移動体ログとを対照することで、図４Ｂに示す移動体ログに示される事象が、対応する情報処理装置１１２において設計上発生する事象であるかを判定する。攻撃判定部１２２は、図４Ｂに示す移動体ログに示される事象が設計上発生しない事象と判定した場合には、対応する情報処理装置に対してハッカーの攻撃がされていると判定する。そして、攻撃判定部１２２は、その攻撃が「ファーム不正書き換え」といった攻撃判定内容であると推定すればよい。
【００７８】
また、攻撃判定部１２２は、オンラインすなわちリアルタイムに２以上移動体のログを取得して、当該２以上の移動体ログそれぞれに示される事象が、対応する情報処理装置において設計上発生する事象かどうかを判定してもよい。また、攻撃判定部１２２は、２以上の移動体ログを取得して、当該２以上の移動体ログそれぞれに示される事象が、設計上発生する事象かどうかをオフラインで判定してもよい。
【００７９】
なお、攻撃判定部１２２は、当該２以上の移動体ログのうちの１以上の移動体ログそれぞれに示される事象が、対応する情報処理装置において設計上発生する事象かどうかを判定できない場合もある。この場合には、攻撃判定部１２２は、当該１以上の移動体ログ以外の他の移動体ログにおいて対応する情報処理装置において設計上発生する事象ではなく攻撃されていることを判定した場合に、当該１以上の移動体ログに示される事象においても攻撃されていると判定すればよい。そして、攻撃判定部１２２は、当該１以上の移動体ログに示される事象を、攻撃判定内容候補に示される攻撃がされているものとして推定すればよい。
【００８０】
つまり、攻撃判定部１２２は、２以上のログのうちの１以上のログが、当該１以上のログに対応する情報処理装置に対する攻撃であることを判定した場合、２以上のログのうちの少なくとも一のログが当該少なくとも一のログに対応する情報処理装置に対する攻撃であることを判定できないときには、当該少なくとも一のログが、当該少なくとも一のログに対応する情報処理装置に対する攻撃であると推定すればよい。
【００８１】
≪攻撃シナリオ表示生成部１２３≫
攻撃判定部１２２により、２以上のログそれぞれが、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であると判定されたとする。この場合、攻撃シナリオ表示生成部１２３は、判定された攻撃内容（攻撃判定内容）と、２以上のログそれぞれが発生した時刻とを、２以上のログに対応する位置に表示する表示画面である攻撃シナリオ表示画面を生成して出力する。
【００８２】
例えば、攻撃シナリオ表示生成部１２３は、攻撃シナリオ表示画面として、判定された攻撃内容（攻撃判定内容）と、２以上のログそれぞれが発生した時刻とを、当該一の物体が有する第１ネットワークで接続された複数の情報処理装置を示す物体ネットワーク構成図のうち対応する情報処理装置の位置に対応づけた表示画面を生成して出力してもよい。また、例えば、攻撃シナリオ表示生成部１２３は、攻撃シナリオ表示画面として、判定された攻撃内容（攻撃判定内容）と、２以上のログのそれぞれに対応する情報処理装置とを、２以上のログのそれぞれが発生した時刻ごとに時系列で表示した表示画面を生成して出力してもよい。
【００８３】
また、攻撃シナリオ表示生成部１２３は、ディスプレイに生成した攻撃シナリオ表示画面を出力してディスプレイに表示させる。
【００８４】
図７Ａおよび図７Ｂは、本実施の形態に係る攻撃シナリオ表示生成部１２３が生成した攻撃シナリオ表示画面の一例を示す図である。図７Ａでは、移動体１１０が有する情報処理装置１１１〜１１３を示す移動体ネットワークを含む攻撃シナリオ表示画面の一例が示されている。図７Ｂでは、タイムラインを含む攻撃シナリオ表示画面の一例が示されている。
【００８５】
すなわち、図７Ａに示すように、攻撃シナリオ表示生成部１２３は、移動体１１０の移動体ネットワークにおいて対応する情報処理装置の位置に、攻撃判定内容と３つの移動体ログそれぞれが発生した時刻とを対応づけた攻撃シナリオ表示画面を生成してもよい。また、図７Ｂに示すように、攻撃シナリオ表示生成部１２３は、時刻Ａ、Ｂ、Ｃといった３つのログそれぞれが発生した時刻ごとに時系列で、攻撃判定内容と３つの移動体ログそれぞれに対応する情報処理装置１１１〜１１３とを表示した攻撃シナリオ表示画面を生成してもよい。
【００８６】
なお、例えば、図７Ａおよび図７Ｂに示される攻撃シナリオ表示画面において、攻撃判定が未だされていない移動体ログがある場合も考えられる。この場合には、攻撃シナリオ表示生成部１２３は、当該移動体ログに対応する画面と他の移動体ログに対応する画面とを色分けするなどして、攻撃判定されていない問題のない部分がわかるような攻撃シナリオ表示画面を生成してもよい。
【００８７】
また、図５に示す例を用いて、攻撃分析装置１２はログ収集部１２１と、攻撃判定部１２２と、攻撃シナリオ表示生成部１２３とを備える場合について説明したが、これに限らない。ログ収集部１２１と、攻撃判定部１２２と、攻撃シナリオ表示生成部１２３とは、独立した装置すなわちログ収集装置と、攻撃判定装置と、攻撃シナリオ表示生成装置とであってもよく、それぞれクラウドを構成するとしてもよい。
【００８８】
＜解析支援情報ＤＢ１３＞
解析支援情報ＤＢ１３は、１以上の物体する複数の情報処理装置それぞれに対する攻撃を判定するために用いられる解析支援情報であって当該複数の情報処理装置それぞれに関する設計情報を少なくとも含む解析支援情報を記憶している第２記憶装置である。ここで、解析支援情報は、当該複数の情報処理装置それぞれに関する設計情報を少なくとも含む、また、解析支援情報は、さらに、１以上の物体それぞれの仕様および１以上の物体それぞれの状態を含んでもよい。解析支援情報は、２以上のログそれぞれに記載される事象の発生条件と、当該発生条件が正しいか否かを識別するための条件を示す判断情報とで構成される。
【００８９】
より具体的には、解析支援情報ＤＢ１３は、例えば図６で説明したように発生条件と判断情報とで構成されている解析支援情報を記憶する。
【００９０】
発生条件は、移動体ログに対応する情報処理装置において予め設定された設計情報から得られるログの発生条件を示しており、固定的なものである。判断情報には、例えば移動体のネットワーク構成などの移動体仕様が含まれるとしてもよい。また、発生条件には、情報処理装置のファームウェア更新に関するシーケンス情報、または、駐車中から走行中に遷移、走行中からレーンキープモードに遷移したなどの移動体の状態遷移情報が含まれていてもよい。
【００９１】
判断情報は、その発生条件が正しいか否かを識別するための条件を示し、移動体ログに対応する情報処理装置において設計上発生する事象であるか否かを判定するために用いられる。判断情報は、上述したように、移動体ログ等から取得する動的なものである。判断情報は、自動運転モードもしくはレーンキープ状態であるなどの移動体のシステム状態を含むとしてもよい。また、判断情報は、移動体が走行中である、止まっているなどの移動体の走行状態を含むとしてもよい。
【００９２】
なお、解析支援情報は、図６で説明したものに限らない。解析支援情報ＤＢ１３は、図８に示すような解析支援情報を記憶するとしてもよい。
【００９３】
図８は、本実施の形態に係る解析支援情報ＤＢ１３が記憶する解析支援情報の一例を示す図である。図８には、移動体ログ内容に対応する解析支援情報と、解析支援情報および移動体ログ内容とを対照することで推定できる攻撃判定内容候補が示されている。
【００９４】
なお、図８には、特定の移動体ログ内容に対応する解析支援情報に「なし（判断できない）」と示されているものがある。これは特定の移動体ログ内容と移動体ログ内容に対応する情報処理装置等の設計情報とを対照しても、特定の移動体ログ内容に示される事象が攻撃を示すものか否かを判定できないことを示している。この場合には、攻撃判定部１２２は、他の移動体ログに示される事象が攻撃されていることを示していると判定したときに、当該特定の移動体ログに示される事象を攻撃判定内容候補に示される攻撃がされているものとして推定すればよい。
【００９５】
＜攻撃ログＤＢ１４＞
攻撃ログＤＢ１４は、移動体に対する攻撃と判定された攻撃判定内容を含む攻撃ログを記憶する第３記憶装置である。攻撃ログＤＢ１４は、移動体ごとに２以上の移動体ログに対応する攻撃ログを記憶する。
【００９６】
より具体的には、攻撃ログＤＢ１４は、攻撃判定部１２２により判定した攻撃判定内容および対応する移動体ログを一意に識別するための情報が記憶される。
【００９７】
図９は、本実施の形態に係る攻撃ログＤＢ１４が記憶する攻撃ログの一例を示す図である。
【００９８】
図９には、攻撃判定部１２２により、図４Ｂに示すように、移動体ログ内容である「ファーム更新失敗」が示す事象が、移動体１１０の情報処理装置１１２に対する「ファーム不正書き換え」の攻撃と判定された場合の例が示されている。すなわち、攻撃ログＤＢ１４には、移動体ログを一意に識別するための情報として移動体ＩＤ、情報処理装置名およびイベント（事象）の発生日時と、攻撃判定内容「ファーム不正書き換え」とが記載された場合の例が示されている。なお、図９に示す攻撃ログでは、移動体ログを一意に識別するための情報として移動体ＩＤ、情報処理装置名および発生日時を含む例を示しているが、これに限らない。
【００９９】
また、図２および図５に示す例では、移動体ログＤＢ１１は、セキュリティ監視システム１０が有するネットワークを介して攻撃分析装置１２と接続されているが、これに限らない。攻撃ログＤＢ１４は、攻撃分析装置１２とネットワーク２０を介して接続されてもよい。攻撃ログＤＢ１４は自らネットワーク２０を介して、攻撃分析装置１２から、攻撃判定部１２２が判定した攻撃判定内容および対応する移動体ログを取得して攻撃ログとして記憶してもよい。また、攻撃ログＤＢ１４はクラウドを構成し、攻撃分析装置１２とは独立した装置であってもよい。
【０１００】
＜表示装置１５＞
図１０Ａおよび図１０Ｂは、本実施の形態に係る表示装置１５に表示される攻撃シナリオ表示画面の一態様を示す図である。図１１Ａは、図７Ａに示される攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報を示す図である。図１１Ｂは、図７Ｂに示される攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報を示す図である。
【０１０１】
表示装置１５は、ディスプレイの一例である。表示装置１５は、ディスプレイなどの表示部を有し、攻撃シナリオ表示生成部１２３が生成した攻撃シナリオ表示画面を表示する。表示装置１５は、例えば図７Ａおよび図７Ｂに示すような、攻撃シナリオ表示画面を表示する。
【０１０２】
ここで、例えば表示装置１５は、例えば図１０Ａおよび図１０Ｂに示すような、攻撃シナリオ表示画面を表示してもよい。すなわち、移動体１１０が自動車１１０ａである場合には、表示装置１５は、図１０Ａに示すように、自動車１１０ａの車載ネットワークにおいて対応する情報処理装置であるＩＶＩ１１１ａ、ＧＷ１１２ａおよびＣＡＮ１１３ａの位置に、攻撃判定内容と３つのログそれぞれが発生した時刻とを対応づけた攻撃シナリオ表示画面を表示してもよい。また、表示装置１５は、図１０Ｂに示すように、時刻Ａ、Ｂ、Ｃといった３つのログそれぞれが発生した時刻ごとに時系列で、攻撃判定内容と３つのログそれぞれに対応する情報処理装置であるＩＶＩ１１１ａ、ＧＷ１１２ａおよびＣＡＮ１１３ａとを表示した攻撃シナリオ表示画面を表示してもよい。
【０１０３】
なお、図７Ａおよび図７Ｂでは、攻撃シナリオ表示画面には、攻撃判定内容が示されるとして説明したが、これに限らない。攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報がさらに表示されるとしてもよい。例えば、表示装置１５を利用する解析者等のユーザによる操作により、図７Ａおよび図７Ｂの攻撃シナリオ表示画面を切り替えて、図１１Ａおよび図１１Ｂに示すように攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報が表示されるとしてもよい。
【０１０４】
図１２Ａは、図１１Ａに示される攻撃シナリオ表示画面の一態様を示す図である。図１２Ｂは、図１１Ｂに示される攻撃シナリオ表示画面の一態様を示す図である。すなわち、移動体１１０が自動車１１０ａである場合には、表示装置１５は、図１２Ａに示すように、自動車１１０ａの車載ネットワークにおいて対応する情報処理装置であるＩＶＩ１１１ａ、ＧＷ１１２ａおよびＣＡＮ１１３ａの位置に、攻撃判定内容を推定するのに用いた解析支援情報と３つの移動体ログそれぞれが発生した時刻とを対応づけた攻撃シナリオ表示画面を表示する。また、表示装置１５は、図１２Ｂに示すように、時刻Ａ、Ｂ、Ｃといった３つの移動体ログそれぞれが発生した時刻ごとに時系列で、攻撃判定内容を推定するのに用いた解析支援情報と３つの移動体ログそれぞれに対応する情報処理装置であるＩＶＩ１１１ａ、ＧＷ１１２ａおよびＣＡＮ１１３ａとを表示した攻撃シナリオ表示画面を表示する。
【０１０５】
このように、図１０Ａおよび図１０Ｂの攻撃シナリオ表示画面を切り替えて、図１２Ａおよび図１２Ｂに示すように攻撃シナリオ表示画面の攻撃判定内容を推定するのに用いた解析支援情報が表示されるとしてもよい。
【０１０６】
なお、表示装置１５は、表示部を有するＰＣなどであってもよい。この場合、表示装置１５は、端末として機能し、攻撃分析装置１２を操作することにより、攻撃分析装置１２に、複数の情報処理装置を有する移動体への攻撃を監視させてもよい。
【０１０７】
［セキュリティ監視システム１０の動作］
次に、以上のように構成されたセキュリティ監視システム１０の動作について、図を用いて説明する。
【０１０８】
図１３は、本実施の形態に係るセキュリティ監視システム１０の動作を示すフローチャートである。
【０１０９】
まず、セキュリティ監視システム１０は、１以上の移動体から取得したログ（移動体ログ）を記憶する（Ｓ１０）。より具体的には、セキュリティ監視システム１０は、ネットワークを介して１以上の物体それぞれから取得した、１以上の物体が有する複数の情報処理装置それぞれで発生したログを第１記憶装置に記憶する。例えば図２に示す例では、セキュリティ監視システム１０は、ネットワーク２０を介して、移動体１１０および移動体１２０それぞれから取得された移動体ログを移動体ログＤＢ１１に記憶する。
【０１１０】
次に、セキュリティ監視システム１０は、１以上の移動体それぞれに対する解析支援情報を抽出する（Ｓ２０）。より具体的には、セキュリティ監視システム１０は、１以上の物体が有する複数の情報処理装置それぞれに対する攻撃を判定するために用いられる解析支援情報であって複数の情報処理装置それぞれに関する解析支援情報を第２記憶装置から抽出する。例えば図２に示す例では、セキュリティ監視システム１０は、発生条件と判断情報とで構成されている解析支援情報を解析支援情報ＤＢ１３から抽出する。
【０１１１】
次に、セキュリティ監視システム１０は、一の移動体についての移動体ログと対応する解析支援情報とを用いて攻撃判定を行う（Ｓ３０）。より具体的には、セキュリティ監視システム１０は、まず、第１記憶装置が記憶する一の物体についての２以上のログと、ステップＳ２０において抽出した解析支援情報であって一の物体が有する複数の情報処理装置に関する解析支援情報とを対照することで、２以上のログそれぞれが、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定する。例えば図２に示す例では、セキュリティ監視システム１０は、解析支援情報ＤＢ１３が記憶する解析支援情報と、移動体ログＤＢ１１が記憶する移動体ログとを対照することで、当該移動体ログに示される事象が対応する情報処理装置において設計上発生する事象であるか否かを判定する。
【０１１２】
以下、ステップＳ３０について図１４を用いてさらに詳細に説明する。
【０１１３】
図１４は、図１３に示すステップＳ３０の詳細動作を示すフローチャートである。
【０１１４】
すなわち、ステップＳ３０において、まず、セキュリティ監視システム１０は、一の移動体についての移動体ログを取得する（Ｓ３０１）。より具体的には、セキュリティ監視システム１０は、第１記憶装置が記憶する一の物体についての２以上のログを取得する。例えば図２に示す例では、セキュリティ監視システム１０は、移動体ログＤＢ１１が記憶する２以上の移動体ログを取得する。
【０１１５】
次に、セキュリティ監視システム１０は、取得した移動体ログに対応する解析支援情報を抽出する（Ｓ３０２）。より具体的には、セキュリティ監視システム１０は、第２記憶装置が記憶する解析支援情報から、すなわちステップＳ２０において第２記憶装置から抽出した解析支援情報から、取得した当該２以上のログのそれぞれに対応する情報処理装置についての解析支援情報を抽出する。例えば図２に示す例では、セキュリティ監視システム１０は、解析支援情報ＤＢ１３が記憶する解析支援情報から、取得した２以上の移動体ログに対応する解析支援情報を抽出する。
【０１１６】
次に、セキュリティ監視システム１０は、２以上の移動体ログそれぞれについて、移動体ログにより示される事象が設計上発生する事象であるかを判定する（Ｓ３０３）。より具体的には、セキュリティ監視システム１０は、取得した２以上のログと、ステップＳ３０２において抽出した解析支援情報とを対照することで、２以上のログそれぞれに示される事象が、対応する情報処理装置において設計上発生する事象かどうかに応じて、２以上のログのそれぞれに対応する情報処理装置に対する攻撃であるか否かを判定する。例えば図２に示す例では、セキュリティ監視システム１０は、２以上の移動体ログと、抽出した解析支援情報とを付き合わせることで、２以上の移動体ログそれぞれに示される事象が対応する情報処理装置において設計上発生する事象かどうかを判定する。
【０１１７】
ステップＳ３０３において、当該移動体ログにより示される事象が設計上発生する事象でなければ（Ｓ３０３でＮｏ）、当該移動体ログに示される事象は攻撃であると判定する（Ｓ３０４）。一方、当該移動体ログにより示される事象が設計上発生する事象であれば（Ｓ３０３でＹｅｓ）、当該移動体ログに示される事象は攻撃でないと判定する（Ｓ３０５）。つまり、例えば図２に示す例では、セキュリティ監視システム１０は、２以上の移動体ログと、抽出した解析支援情報とを付き合わせることで、２以上の移動体ログそれぞれに示される事象が設計上発生する事象であるか否かにより、ハッカーによる移動体への攻撃かどうかを判定する。
【０１１８】
なお、ステップＳ３０３において、当該移動体ログにより示される事象が設計上発生する事象か否かを判断できない場合がある。すなわち、当該移動体ログにより示される事象が当該ログに対応する解析支援情報からでは設計上発生する事象か否かを判断できない場合がある。この場合には、攻撃ログＤＢ１４が記憶する攻撃ログにおいて攻撃判定されていない移動体ログがある。
【０１１９】
この場合のセキュリティ監視システム１０の動作を図１５を用いて説明する。
【０１２０】
図１５は、本実施の形態に係るセキュリティ監視システム１０の攻撃推定処理の一例を示すフローチャートである。
【０１２１】
セキュリティ監視システム１０が図１３に示す攻撃判定処理を行い、攻撃ログを攻撃ログＤＢ１４に記憶させたとする。
【０１２２】
その後、セキュリティ監視システム１０は、まず、図１４に示すように、攻撃ログＤＢ１４から攻撃ログを取得する（Ｓ３０６）。
【０１２３】
次に、セキュリティ監視システム１０は、同一移動体において攻撃判定できていない移動体ログがあるかを判定する（Ｓ３０７）。
【０１２４】
攻撃判定できていない移動体ログがある場合（Ｓ３０７でｙｅｓ）、当該移動体ログは、攻撃判定された他のログの前後の所定期間内ものであるかを判定する（Ｓ３０８）。
【０１２５】
他のログの前後の所定期間内ものであれば（Ｓ３０８でＹｅｓ）、当該移動体ログに示される事象は攻撃であると判定する（Ｓ３０９）。
【０１２６】
なお、ステップＳ３０８における所定期間は、移動体の外部のＩ／Ｆ（インターフェース）からの経由数に応じて変更してもよい。例えば経由数が１０段以上であれば、期間を長くするなどすればよい。
【０１２７】
［効果等］
本実施の形態のシステムおよび方法によれば、移動体ログと解析支援情報とを用いることで、一つの移動体において複数の情報処理装置を経由する攻撃を受けたか否かを判定することができるので、複数の情報処理装置を有する移動体の情報処理装置への攻撃を監視することができる。
【０１２８】
さらに、本実施の形態のシステムおよび方法は、判定した攻撃判定内容とログ取得時刻とを共に表示する攻撃シナリオ表示画面を提供する。これにより、解析者は、一つの移動体に対する攻撃シナリオを推定可能となる。
【０１２９】
なお、上述したように、本実施の形態のシステムおよび方法は、移動体に限らず、移動体と同様の物体にも適用できる。つまり、本実施の形態のシステムおよび方法によれば、複数の情報処理装置を有する移動体の情報処理装置への攻撃を監視することができる。
【０１３０】
また、本実施の形態のシステムおよび方法は、判定した攻撃判定内容とログ取得時刻とを共に表示する攻撃シナリオ表示画面を提供する。これにより、解析者は、一つの物体に対する攻撃シナリオを推定可能となる。
【０１３１】
（その他の実施の形態）
上記の実施の形態では、解析支援情報は、解析支援情報DB１３において予め記憶されているとして説明したが、これに限らない。攻撃分析装置が、ログ収集部１２１で収集した移動体ログを用いて新しい解析支援情報を新規に登録してもよい。
【０１３２】
図１６は、その他の実施の形態に係る攻撃分析装置１２Ａの機能構成の一例を示す図である。図５と同様の要素には同一の符号を付しており、詳細な説明は省略する。
【０１３３】
図１６に示す攻撃分析装置１２Ａは、図５に示す攻撃分析装置１２に対して、判断情報生成部１２４が追加されている点で構成が異なる。
【０１３４】
判断情報生成部１２４は、ログ収集部１２１が収集した移動体ログを取得する。
【０１３５】
また、判断情報生成部１２４は、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されているかどうかを判断する。
【０１３６】
判断情報生成部１２４は、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されていると判断した場合は、対応する解析支援情報の収集数を１インクリメントする。一方、判断情報生成部１２４は、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されていないつまりないと判断した場合は、その移動体ログに対応する解析支援情報を解析支援情報ＤＢ１３に新たに登録する。
【０１３７】
なお、判断情報生成部１２４は、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に解析支援情報ＤＢ１３にない場合に新しい解析支援情報を追加すると説明したが、これに限定しない。例えば、判断情報生成部１２４は、移動対ログを取得する度に、既に解析支援情報ＤＢ１３に記憶されている解析支援情報であって取得した移動体ログに対応する解析支援情報を更新してもよい。また、判断情報生成部１２４は、解析支援情報のない移動体ログを所定の数取得した場合にのみ、新しい解析支援情報を追加する更新処理を行ってもよい。
【０１３８】
次に、以上のように構成された攻撃分析装置１２Ａの動作について説明する。
【０１３９】
図１７は、その他の実施の形態に係る攻撃分析装置１２Ａの動作を示すフローチャートである。
【０１４０】
まず、攻撃分析装置１２Ａは、移動体ログを取得する（Ｓ４０）。より具体的には、攻撃分析装置１２Ａは、ログ収集部１２１に移動体ログを収集させることで取得する。
【０１４１】
次に、攻撃分析装置１２Ａは、Ｓ４０で取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢにあるか否かを判断する（Ｓ５０）。より具体的には、攻撃分析装置１２Ａは、判断情報生成部１２４に、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されているかどうかを判断させる。
【０１４２】
ステップＳ５０において、あると判断した場合（Ｓ５０でＹｅｓ）、攻撃分析装置１２Ａは、対応する解析支援情報のカウント数を１インクリメントする。一方、ないと判断した場合（Ｓ５０でＮｏ）、攻撃分析装置１２Ａは、対応する解析支援情報を解析支援情報ＤＢ１３に新たに登録する。より具体的には、攻撃分析装置１２Ａは、判断情報生成部１２４が、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されていると判断した場合は、判断情報生成部１２４に、対応する解析支援情報の収集数を１インクリメントさせる。一方、攻撃分析装置１２Ａは、判断情報生成部１２４が、取得した移動体ログに対応する解析支援情報が解析支援情報ＤＢ１３に記憶されていないと判断した場合は、判断情報生成部１２４に、その移動体ログに対応する解析支援情報を解析支援情報ＤＢ１３に新たに登録させる。
【０１４３】
以上のように、本出願において開示する技術の例示として、実施の形態を説明した。しかしながら、本実施の形態における技術は、これに限定されず、適宜、変更、置き換え、付加、省略などを行った実施の形態にも適用可能である。また、上記各実施の形態で説明した各構成要素を組み合わせて、新たな実施の形態とすることも可能である。
【０１４４】
また、本開示に係る実施の形態について図面を参照して詳述してきたが、上述した装置や各処理部の機能は、コンピュータプログラムにより実現され得る。
【０１４５】
上述した機能をプログラムにより実現するコンピュータは、キーボードやマウス、タッチパッドなどの入力装置、ディスプレイやスピーカなどの出力装置、プロセッサまたはＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク装置やＳＳＤ（Solid State Drive）などの記憶装置、ＤＶＤ−ＲＯＭ（Digital Versatile Disk Read Only Memory）やＵＳＢ（Universal Serial Bus）メモリなどの記録媒体から情報を読み取る読取装置、ネットワークを介して通信を行うネットワークカードなどを備え、各部はバスにより接続される。
【０１４６】
そして、読取装置は、上記プログラムを記録した記録媒体からそのプログラムを読み取り、記憶装置に記憶させる。あるいは、ネットワークカードが、ネットワークに接続されたサーバ装置と通信を行い、サーバ装置からダウンロードした上記各装置の機能を実現するためのプログラムを記憶装置に記憶させる。
【０１４７】
そして、プロセッサまたはＣＰＵが、記憶装置に記憶されたプログラムをＲＡＭにコピーし、そのプログラムに含まれる命令をＲＡＭから順次読み出して実行することにより、上記各装置の機能が実現される。
【産業上の利用可能性】
【０１４８】
本開示に係るシステムおよび方法は、自動車、船舶または飛行機等の移動体が有する情報処理装置に対するハッカーの攻撃を監視するためのセキュリティ監視のためのシステムおよび方法に利用できる。
【符号の説明】
【０１４９】
１    システム
１０    セキュリティ監視システム
１１    移動体ログＤＢ
１２    攻撃分析装置
１３    解析支援情報ＤＢ
１４    攻撃ログＤＢ
１５    表示装置
２０、１１４    ネットワーク
１１０、１２０    移動体
１１０ａ    自動車
１１１、１１２、１１３    情報処理装置
１１１ａ    ＩＶＩ
１１２ａ    ＧＷ
１１３ａ    ＣＡＮ
１２１    ログ収集部
１２２    攻撃判定部
１２３    攻撃シナリオ表示生成部
１１１１、１１２１、１１３１    ログ送信部
１１３１ａ、１１３２ａ    ＥＣＵ
【図１】
2019102023.tif 000003
【図２】
2019102023.tif 000004
【図３Ａ】
2019102023.tif 000005
【図３Ｂ】
2019102023.tif 000006
【図４Ａ】
2019102023.tif 000007
【図４Ｂ】
2019102023.tif 000008
【図５】
2019102023.tif 000009
【図６】
2019102023.tif 000010
【図７Ａ】
2019102023.tif 000011
【図７Ｂ】
2019102023.tif 000012
【図８】
2019102023.tif 000013
【図９】
2019102023.tif 000014
【図１０Ａ】
2019102023.tif 000015
【図１０Ｂ】
2019102023.tif 000016
【図１１Ａ】
2019102023.tif 000017
【図１１Ｂ】
2019102023.tif 000018
【図１２Ａ】
2019102023.tif 000019
【図１２Ｂ】
2019102023.tif 000020
【図１３】
2019102023.tif 000021
【図１４】
2019102023.tif 000022
【図１５】
2019102023.tif 000023
【図１６】
2019102023.tif 000024
【図１７】
2019102023.tif 000025