JP7705202B2

JP7705202B2 - 攻撃経路生成方法および攻撃経路生成装置

Info

Publication number: JP7705202B2
Application number: JP2022054604A
Authority: JP
Inventors: 崇之藤井; 薫横田; 翔一朗関屋
Original assignee: Panasonic Automotive Systems Co Ltd
Current assignee: Panasonic Automotive Systems Co Ltd
Priority date: 2022-03-29
Filing date: 2022-03-29
Publication date: 2025-07-09
Anticipated expiration: 2042-03-29
Also published as: US20230319085A1; US12375511B2; DE102023103676A1; JP2023147061A

Description

本開示は、攻撃経路生成方法および攻撃経路生成装置に関する。

サイバー攻撃への対策として、将来発生が予想される攻撃パターンを攻撃シナリオとして事前に定義しておき、ログと整合する攻撃シナリオを１つに特定する技術が開示されている。

特許第６８３１７６３号公報

しかしながら、システム内に攻撃経路が複数同時に存在する場合には、攻撃シナリオを１つに特定する上記技術では対応が困難である。

本開示は、複数の装置が同時に攻撃を受けた場合であっても攻撃経路を特定することが可能な攻撃経路生成方法および攻撃経路生成装置を提供することを目的とする。

本開示にかかる攻撃経路生成方法は、分岐および合流の少なくともいずれかを含むネットワークに接続され、それぞれが攻撃検知機能を有する複数の装置におけるログを取得することで、前記複数の装置における攻撃経路を生成する情報処理装置にて実行される攻撃経路生成方法であって、取得した前記ログに基づいて分岐および合流のない一次的な攻撃経路を生成し、前記ログに基づいて前記一次的な攻撃経路から分岐し、または前記一次的な攻撃経路に合流する二次的な攻撃経路を生成し、生成した前記一次的な攻撃経路および前記二次的な攻撃経路を、攻撃判定を行う装置に出力し、前記二次的な攻撃経路は、前記一次的な攻撃経路に含まれる装置であって前記ネットワークの合流点または分岐点に接続される装置に対する攻撃と想定される事象から一定時間内に攻撃と想定される事象が起きている上流側または下流側の装置を含めた攻撃経路である。

本開示にかかる攻撃経路生成方法および攻撃経路生成装置によれば、複数の装置が同時に攻撃を受けた場合であっても攻撃経路を特定することができる。

図１は、実施形態にかかる攻撃分析システムの構成の一例を示す図である。図２は、実施形態にかかるＩＤＭ装置のハードウェア構成の一例を示すブロック図である。図３は、実施形態にかかるＩＤＭ装置およびＳＩＥＭ装置の機能構成の一例を示すブロック図である。図４は、実施形態にかかるＩＤＭ装置がＩＤＳセンサ群から取得するログの一例を示す図である。図５は、実施形態にかかるＩＤＭ装置がＩＤＳセンサ群から取得したログにグルーピング処理を施した後のデータの一例を示す図である。図６は、実施形態にかかるＩＤＭ装置がＩＤＳセンサ群から取得したログにフィッティング処理を施したデータの一例を示す図である。図７は、実施形態にかかるＩＤＭ装置が生成した一次的な攻撃経路の一例を示す図である。図８は、実施形態にかかるＩＤＭ装置の二次的な攻撃経路を生成する場合の候補を示す図である。図９は、実施形態にかかるＩＤＭ装置において検討される車載装置間における事象の発生タイミングを示す図である。図１０は、実施形態にかかるＩＤＭ装置において検討される車載装置間における事象の発生タイミングを示す図である。図１１は、実施形態にかかるＩＤＭ装置が生成した攻撃経路の一例を示す図である。図１２は、実施形態にかかるＩＤＭ装置が攻撃シナリオの推定に用いる既知攻撃データベースの一例を示す図である。図１３は、実施形態にかかるＩＤＭ装置による攻撃経路生成処理の手順の一例を示すフロー図である。図１４は、実施形態にかかるＩＤＭ装置による二次的な攻撃経路の生成処理の手順の一例を示すフロー図である。図１５は、実施形態の変形例１にかかるＩＤＭ装置およびＳＩＥＭ装置の機能構成の一例を示すブロック図である。図１６は、実施形態の変形例１にかかるＩＤＭ装置がＩＤＳセンサ群から取得したログにフィッティング処理を施したデータの一例を示す図である。図１７は、実施形態の変形例１にかかるＩＤＭ装置において検討される車載装置間における事象の発生タイミングを示す図である。図１８は、実施形態の変形例１にかかるＩＤＭ装置が生成した攻撃経路の一例を示す図である。図１９は、実施形態の変形例１にかかるＩＤＭ装置による二次的な攻撃経路の生成処理の手順の一例を示すフロー図である。図２０は、実施形態の変形例２にかかるＩＤＭ装置およびＳＩＥＭ装置の機能構成の一例を示すブロック図である。図２１は、実施形態の変形例２にかかるＩＤＭ装置が生成した攻撃経路の一例を示す図である。図２２は、実施形態の変形例２にかかるＩＤＭ装置が、攻撃目標数のカウントに基づいて生成した攻撃経路の一例を示す図である。図２３は、実施形態の変形例２にかかるＩＤＭ装置による攻撃発生数に基づく攻撃経路の生成処理の手順の一例を示すフロー図である。

以下、図面を参照しながら、本開示にかかる攻撃経路生成方法および攻撃経路生成装置の実施形態について説明する。

（攻撃分析システムの構成例）
図１は、実施形態にかかる攻撃分析システムの構成の一例を示す図である。実施形態の攻撃分析システムには、車両ＶＨに搭載された統合ログ監視装置（以下、ＩＤＭ（ＩｎｔｅｇｒａｔｅｄＤｅｔｅｃｔｉｏｎｌｏｇＭａｎａｇｅｒ）装置）１０が含まれており、ＩＤＭ装置１０が監視する車載装置群１００へのサイバー攻撃についての分析および対策等のサポートを行う。

車載装置群１００は、例えばＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）、車載Ｅｔｈｅｒｎｅｔ、車載電子制御ユニット（ＥＣＵ：ＥｌｅｃｔｒｏｎｉｃＣｏｎｔｒｏｌＵｎｉｔ）、ゲートウェイ、テレマティクス制御ユニット（ＴＣＵ：ＴｅｌｅｍａｔｉｃｓＣｏｎｔｒｏｌＵｎｉｔ）、先進運転支援システム（ＡＤＡＤＳ：ＡｄｖａｎｃｅｄＤｒｉｖｅｒ－ＡｓｓｉｓｔａｎｃｅＳｙｓｔｅｍｓ）、オン・ボード・ダイアグノーシス（ＯＢＤ：Ｏｎ－ＢｏａｒｄＤｉａｇｎｏｓｔｉｃｓ）等の種々の車載装置を含む。

車載装置群１００に含まれるそれぞれの車載装置は、互いにネットワーク接続されている。車載装置が相互接続されるネットワークは、分岐および合流の少なくともいずれかを含みうる。また、これらの車載装置は、以下に述べる侵入検知システム（ＩＤＳ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）センサが搭載されることにより、攻撃検知機能を備える。

車載装置に搭載されるＩＤＳセンサは、ネットワーク型ＩＤＳ（ＮＩＤＳ：Ｎｅｔｗｏｒｋ－ｂａｓｅｄＩＤＳ）、ホスト型ＩＤＳ（ＨＩＤＳ：Ｈｏｓｔ－ｂａｓｅｄＩＤＳ）、ファイアウォール等であり、ＩＤＳセンサ群１００ａを構成している。

攻撃経路生成装置としてのＩＤＭ装置１０は、車両ＶＨに搭載されており、車載装置群１００における各種事象の検知結果を含むログを、ＩＤＳセンサ群１００ａから取得する。ログが記録する各種事象には、所定の車載装置に対する攻撃と想定される事象が含まれる。ＩＤＭ装置１０は、これらのログに基づいて車載装置群１００を監視する。

また、ＩＤＭ装置１０は、ＩＤＳセンサ群１００ａからのログを含む車載装置群１００の監視結果をインターネット等の無線による外部ネットワークＮＴｅを介してデータセンタ２０へと送信する。

データセンタ２０は、外部ネットワークＮＴｅでＩＤＭ装置１０と接続されており、セキュリティ情報イベント管理（ＳＩＥＭ：ＳｅｃｕｒｉｔｙＩｎｆｏｒｍａｔｉｏｎａｎｄＥｖｅｎｔＭａｎａｇｅｍｅｎｔ）装置２１、及びデータベース２２を備える。データベース２２には、ＩＤＭ装置１０からの車載装置群１００の監視結果およびＩＤＳセンサ群１００ａのログが蓄積される。ＳＩＥＭ装置２１は、データベース２２に蓄積されたこれらの情報を一元管理し、相関分析等によってセキュリティインシデントを特定する。

監視センタ３０は、車載装置群１００に対するサイバー攻撃の監視を行い、その対策を講じることなどを専門とするＳＯＣ（ＳｅｃｕｒｉｔｙＯｐｅｒａｔｉｏｎＣｅｎｔｅｒ）に属する専門組織である。データセンタ２０のＳＩＥＭ装置２１が異常を検知すると、監視センタ３０のオペレータ３１に通知される。オペレータ３１から報告を受けたマネージャ３２は、分析センタ４０にアラート情報を上げる。

分析センタ４０は、車載装置群１００に対するサイバー攻撃の分析を行い、その対策を講じることなどを専門とするＳＯＣに属する専門組織である。分析センタ４０の分析官４１は、監視センタ３０からアラート情報を受けると、ＳＩＥＭ装置２１が検知した異常の分析を行う。分析センタ４０のマネージャ４２は、分析官４１が分析したアラート情報をＳＩＲＴ（ＳｅｃｕｒｉｔｙＩｎｃｉｄｅｎｔＲｅｓｐｏｎｓｅＴｅａｍ）５０に上げる。

ＳＩＲＴ５０は、コンピュータ及びネットワークにおいて生じるセキュリティインシデントに対応するために設置された専門チームである。分析センタ４０が分析したアラート情報は、ＳＩＲＴ５０に連携され、さらに本格的な対応が進められる。

以上のように、車載装置群１００は、ＩＤＭ装置１０を含む階層的なシステムによって、サイバー攻撃に対する監視、分析、及び対策等のサポートを受けている。このような階層的な攻撃分析システムにおいて、車両ＶＨに搭載されるＩＤＭ装置１０から、どのような形態のデータをデータセンタ２０に送信するかは重要である。

ところで、１つのネットワーク上において、最終的な攻撃目標に到達するため、ネットワークを辿って複数の攻撃対象を同時に偵察するようなサイバー攻撃が仕掛けられる場合がある。このような場合、１つのネットワーク上に複数の攻撃経路が同時多発的に発生することがある。

ＩＤＭ装置１０は、以下に説明するように、ＩＤＳセンサ群１００ａから収集したログに基づいて、車載装置群１００に含まれる複数の車載装置への攻撃経路を生成し、攻撃経路の生成結果を含むデータをデータセンタ２０のデータベース２２にアップロードする。

（ＩＤＭ装置の構成例）
次に、図２及び図３を用いて、ＩＤＭ装置１０のハードウェア構成および機能構成の例について説明する。

図２は、実施形態にかかるＩＤＭ装置１０のハードウェア構成の一例を示すブロック図である。図２に示すように、ＩＤＭ装置１０は、例えばＣＰＵ（ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔ）１１、ＲＯＭ（ＲｅａｄＯｎｌｙＭｅｍｏｒｙ）１２、及びＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ）１３を備えたコンピュータ等の情報処理装置として構成されている。

より詳細には、ＩＤＭ装置１０は、ＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、通信インターフェース（Ｉ／Ｆ：Ｉｎｔｅｒｆａｃｅ）１４、入出力Ｉ／Ｆ１５、及び記憶装置１６を備える。これらのＣＰＵ１１、ＲＯＭ１２、ＲＡＭ１３、通信Ｉ／Ｆ１４、入出力Ｉ／Ｆ１５、及び記憶装置１６は、互いに内部バスで接続されている。また、入出力Ｉ／Ｆ１５にはＩＤＳセンサ群１００ａが車載ＣＡＮ等のネットワークを介して接続されている。

ＣＰＵ１１は、ＩＤＭ装置１０の全体を制御する。ＲＯＭ１２は、ＩＤＭ装置１０における保存領域として機能する。ＲＯＭ１２に記憶された情報は、ＩＤＭ装置１０の電源が切られても保持される。ＲＡＭ１３は、一次記憶装置として機能し、ＣＰＵ１１の作業領域となる。

ＣＰＵ１１が、ＲＯＭ１２等に格納された攻撃経路生成プログラムをＲＡＭ１３に展開して実行することで、ＩＤＭ装置１０の機能が実現される。

通信Ｉ／Ｆ１４は、例えばインターネット等の無線による外部ネットワークＮＴｅに接続可能に構成される。通信Ｉ／Ｆ１４により、上述のデータセンタ２０のデータベース２２に、ＩＤＭ装置１０からの各種情報をアップロードすることができる。

入出力Ｉ／Ｆ１５は、例えば車載ＣＡＮ等のネットワークでＩＤＳセンサ群１００ａ等の外部機器と接続される。入出力Ｉ／Ｆ１５により、ＩＤＳセンサ群１００ａ等の外部機器からログを含めた各種情報が収集される。

記憶装置１６は、ＨＤＤ（ＨａｒｄＤｉｓｋＤｒｉｖｅ）、ＳＤＤ（ＳｏｌｉｄＳｔａｔｅＤｒｉｖｅ）等であり、ＣＰＵ１１の補助記憶装置として機能する。

ＩＤＳセンサ群１００ａは、上述の通り、ＮＩＤＳ、ＨＩＤＳ、ファイアウォール等の複数のＩＤＳセンサを含む。これら複数のＩＤＳセンサは、車載装置群１００のうち対応する車載装置にそれぞれ搭載され、これらの車載装置を監視してログを生成する。

図３は、実施形態にかかるＩＤＭ装置１０及びＳＩＥＭ装置２１の機能構成の一例を示すブロック図である。

図３に示すように、ＩＤＭ装置１０は、例えば取得部１０１、集計部１０２、一次生成部１０３、二次生成部１０４、推定部１０５、出力部１０６、及び記憶部１０７を備えている。

取得部１０１は、車載ＣＡＮ等のネットワークＮＴｃを介して、ＩＤＳセンサ群１００ａ等の外部機器からログを含む各種情報を受信する。取得部１０１は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１の制御下で動作する入出力Ｉ／Ｆ１５により実現される。

集計部１０２は、ＩＤＳセンサ群１００ａから収集したログを集計する。また、集計部１０２は、記憶部１０７に格納されるネットワーク構成データベース１０７ａを参照して、集計したログをネットワーク上の車載装置群１００に当てはめるフィッティングを行う。集計部１０２は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１により実現される。

一次生成部１０３は、フィッティング処理を施されたログから、合流および分岐のない一次的な攻撃経路を生成する。一次生成部１０３は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１により実現される。

二次生成部１０４は、一次生成部１０３により生成された一次的な攻撃経路から分岐し、または一次的な攻撃経路に合流する二次的な攻撃経路を生成する。二次生成部１０４は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１により実現される。

推定部１０５は、記憶部１０７に格納される既知攻撃データベース１０７ｂを参照して、一次生成部１０３及び二次生成部１０４により生成された攻撃経路と一致または類似する攻撃パターンから、集計部１０２が抽出した車載装置群１００に対する攻撃と想定される事象における攻撃シナリオを推定する。推定部１０５は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１により実現される。

出力部１０６は、インターネット等の外部ネットワークＮＴｅを介して、一次生成部１０３及び二次生成部１０４により生成された攻撃経路、及び推定部１０５により推定された攻撃シナリオ等の情報をデータセンタ２０のデータベース２２へと出力する。出力部１０６は、例えば攻撃経路生成プログラムを実行中のＣＰＵ１１の制御下で動作する通信Ｉ／Ｆ１４により実現される。

記憶部１０７には、ＩＤＭ装置１０で行われる処理に必要な各種パラメータ、及びＩＤＭ装置１０で実行される攻撃経路生成プログラム等が格納されている。また、記憶部１０７には、ネットワーク構成データベース１０７ａ及び既知攻撃データベース１０７ｂが格納されている。記憶部１０７は、例えば情報提供プログラムを実行中のＣＰＵ１１の制御下で動作するＲＯＭ１２、ＲＡＭ１３、及び記憶装置１６等により実現される。

ネットワーク構成データベース１０７ａは、相互接続される車載装置群１００のネットワーク構成の情報を保持する。既知攻撃データベース１０７ｂは、将来発生が予想される既知の攻撃パターンの情報を保持する。

ＳＩＥＭ装置２１は、例えば攻撃判定部２０１及び攻撃対処部２０２を備えている。攻撃判定部２０１は、ＩＤＭ装置１０から受信した一次的または二次的な攻撃経路および推定される攻撃シナリオに基づいて、ＩＤＳセンサ群１００ａが検知した車載装置群１００に対する攻撃と想定される事象について攻撃判定を行う。攻撃対処部２０２は、攻撃判定部２０１が攻撃判定をすると、車載装置群１００に対する攻撃の対策を策定する。

（ログの集計例）
次に、図４～図６を用いて、ＩＤＭ装置１０の集計部１０２がログに対して行う集計について説明する。図４は、実施形態にかかるＩＤＭ装置１０がＩＤＳセンサ群１００ａから取得するログＬＧの一例を示す図である。

図４に示すように、ＩＤＭ装置１０がＩＤＳセンサ群１００ａから取得するログには、例えば車載装置群１００において異常が発生した日時、車載装置種別、ＩＤＳセンサ種別、及び異常種別等の情報が、各データＡ，Ｂ，Ｃ・・・ごとに含まれている。ここで、異常種別は、車載装置群１００に対する攻撃と想定される事象である。

より詳細には、データＡは、所定の日時に、ＴＣＵに搭載されたファイアウォールにおいて認証エラーが検知されたことを示している。また、データＥは、所定の日時に、ゲートウェイに搭載されたＨＩＤＳにおいてリプログラミングエラーが検知されたことを示している。また、データＨは、所定の日時に、車載Ｅｔｈｅｒｎｅｔに搭載されたＮＩＤＳにおいてアドレスエラーが検知されたことを示している。また、データＬは、ＡＤＡＳに搭載されたファイアウォールにおいてメッセージ認証コード（ＭＡＣ：ＭｅｓｓａｇｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＣｏｄｅ）エラーが検知されたことを示している。

ＩＤＭ装置１０の集計部１０２は、これらのログを車載装置種別、ＩＤＳセンサ種別、及び異常種別ごとにグルーピングして時系列順に配列する。図５に、集計部１０２によるグルーピング後のデータの一例を示す。

図５は、実施形態にかかるＩＤＭ装置１０がＩＤＳセンサ群１００ａから取得したログＬＧにグルーピング処理を施した後のデータＬＧｇの一例を示す図である。

図５に示すように、集計部１０２による処理後のデータＬＧｇは、各データＡ，Ｂ，Ｃ・・・ごとのログＬＧが、車載装置種別、ＩＤＳセンサ種別、及び異常種別ごとに、各ステップ１，２，３・・・に分けてグルーピングされている。後述する攻撃経路の生成処理においては、これらのステップ１，２，３・・・のそれぞれは、想定される攻撃における１つの攻撃ステップとして取り扱われる。

集計部１０２は、グルーピング処理をしたデータＬＧｇに対して、車載装置群１００のネットワーク構成にフィッティングする。つまり、集計部１０２は、記憶部１０７に格納されるネットワーク構成データベース１０７ａを参照して、データＬＧｇを車載装置群１００が備えるネットワーク構成に当てはめる。フィッティング処理後のデータを図６に示す。

図６は、実施形態にかかるＩＤＭ装置１０がＩＤＳセンサ群１００ａから取得したログＬＧにフィッティング処理を施したデータの一例を示す図である。なお、図６以降、図１１までの図面においては、説明の便宜上、各々の車載装置を特定することなく、車載装置１１０，１１１，１１２・・・等として示す。図６の例では、車両ＶＨに搭載される車載装置群１００には、車載装置１１０～１１９が含まれている。

図６に示すように、フィッティング処理後のデータでは、既知のネットワーク構成に基づいて、相互にネットワーク接続された車載装置１１０～１１９が示されている。これらの車載装置１１０～１１９のうち、車載装置１１０側がネットワークの上流側であり、車載装置１１７側が下流側である。

図６の例では、また、車載装置１１０～１１９のネットワーク構成には分岐および合流が含まれるものとする。

つまり、例えば車載装置１１４はネットワークの合流点に接続されており、車載装置１１４には上流側の複数の車載装置１１１，１１２が接続されている。また例えば、車載装置１１６はネットワークの分岐点に接続されており、車載装置１１６にはネットワークの分岐先となる下流側の複数の車載装置１１８，１１９が接続されている。

集計部１０２は、複数の車載装置１１０～１１９に発生した複数の事象ＥＶのうち一定時間内に発生した事象ＥＶを、連続的に発生した事象ＥＶとしみなし、図６に示すデータを生成する。車載装置１１０～１１９のいずれかに発生した事象ＥＶが、他の事象ＥＶが発生したタイミングから大きく外れている場合には、同一の攻撃者による一連の攻撃の一部であるとは考えにくいためである。

図６の例では、これらの車載装置１１０～１１９のうち、車載装置１１１～１１６，１１８，１１９において、同一の攻撃者による一連の攻撃と想定される事象ＥＶが発生しているものとする。

なお、上記のネットワーク構成において、ネットワーク最上流の車載装置１１０～１１２が当該ネットワークにアクセスする際の入り口、つまりエントリーポイントとなる。つまり、車載装置１１０～１１２は、サイバー攻撃による最初のターゲットとなり得る。

（攻撃経路の一次生成例）
次に、図７を用いて、ＩＤＭ装置１０の一次生成部１０３が、図６のフィッティング処理後のデータに対して行う一次的な攻撃経路の生成について説明する。

上述の通り、一次生成部１０３は、図６のフィッティング処理後のデータに基づいて一次的な攻撃経路を生成する。一次的な攻撃経路は、分岐および合流のない直線的な攻撃経路である。

このとき、一次生成部１０３は、事象ＥＶが起きた車載装置１１１～１１６，１１８，１１９のうち、ネットワーク上において分岐および合流がないポイント、もしくは分岐および合流が極力少ないポイントに接続された車載装置を含む攻撃経路を選択する。図７に、一次生成部１０３が生成した一次的な攻撃経路の例を示す。

図７は、実施形態にかかるＩＤＭ装置１０が生成した一次的な攻撃経路の一例を示す図である。一次生成部１０３は、上述の図６のデータに基づいて、生成しうる限りの数の一次的な攻撃経路を生成する。図７の例では、一次生成部１０３は２つの攻撃経路を生成している。

これらのうち一方の攻撃経路は、車載装置１１１から発し、車載装置１１３，１１５を経由して車載装置１１８に至っている。

ここで、車載装置１１１はネットワークの分岐点に接続されており、車載装置１１１に接続される下流側の車載装置１１３，１１４の両方共で事象ＥＶが発生している。このため、車載装置１１１で発生した事象ＥＶが、ネットワークを辿って車載装置１１３に至った可能性と、車載装置１１４に至った可能性との両方が考えられる。

しかし、最初に事象ＥＶが発生したと思われる車載装置１１１，１１２のうち、車載装置１１３は一方の車載装置１１１にのみ接続されている。一方で、最初に事象ＥＶが発生した車載装置１１１，１１２のうち、車載装置１１４は両方の車載装置１１１，１１２に接続されている。したがって、車載装置１１３，１１４のうち、車載装置１１３の方が車載装置１１４に比べて分岐および合流がより少ないポイントに接続されているといえる。

この場合、一次生成部１０３は、一次的な攻撃経路として、分岐および合流がより少ないポイントに接続される車載装置１１３へと向かう経路を生成する。

２つの攻撃経路のうち他方の攻撃経路は、車載装置１１２から車載装置１１４，１１６を経由して車載装置１１９に至っている。

ここで、車載装置１１６はネットワークの分岐点に接続されており、車載装置１１６に接続される下流側の車載装置１１８，１１９の両方共で事象ＥＶが発生している。このため、車載装置１１６で発生した事象ＥＶが、ネットワークを辿って車載装置１１８に至った可能性と、車載装置１１９に至った可能性との両方が考えられる。

しかし、これらの車載装置１１８，１１９の上流側において事象ＥＶが発生した車載装置１１５，１１６のうち、車載装置１１９は一方の車載装置１１６にのみ接続されている。一方で、上流側の車載装置１１５，１１６のうち、車載装置１１８は両方の車載装置１１５，１１６に接続されている。したがって、車載装置１１８，１１９のうち、車載装置１１９の方が車載装置１１８に比べて分岐および合流がより少ないポイントに接続されているといえる。

この場合、一次生成部１０３は、一次的な攻撃経路として、分岐および合流がより少ないポイントに接続される車載装置１１９へと向かう経路を生成する。

（攻撃経路の二次生成例）
次に、図８～図１１を用いて、ＩＤＭ装置１０の二次生成部１０４が行う二次的な攻撃経路の生成について説明する。

二次生成部１０４は、図７の一次的な攻撃経路生成後のデータに対して二次的な攻撃経路を生成する。二次的な攻撃経路は、一次生成部１０３が生成した一次的な攻撃経路から分岐する攻撃経路、または一次的な攻撃経路に合流する攻撃経路である。

このとき、二次生成部１０４は、事象ＥＶが起きた車載装置１１１～１１６，１１８，１１９のうち、一次生成部１０３が生成した一次的な攻撃経路に含まれない車載装置から優先的に処理を進めていく。

またこのとき、二次生成部１０４もまた、ネットワーク上において分岐および合流がないポイント、もしくは分岐および合流が極力少ないポイントに接続された車載装置を含む攻撃経路を選択する。

図８は、実施形態にかかるＩＤＭ装置１０の二次的な攻撃経路を生成する場合の候補を示す図である。図８の例では、二次的な攻撃経路を生成する場合、２つの候補が検討対象となり得る。

２つの候補のうち一方は、車載装置１１２から車載装置１１４を経由する一次的な攻撃経路への、車載装置１１１からの攻撃経路の合流の可能性である。

２つの候補のうちもう一方は、車載装置１１６から車載装置１１９へと至る一次的な攻撃経路から、車載装置１１８へと分岐する攻撃経路の可能性である。

このように、上述の一次生成部１０３による一次的な攻撃経路の生成時に、辿り得る攻撃経路が１つに定まらないポイント、つまり、攻撃経路の合流点足り得る車載装置１１４、及び攻撃経路の分岐点足り得る車載装置１１６等が、二次的な攻撃経路を生成する場合の候補となりうる。二次的な攻撃経路の生成においてはこのような、攻撃経路が１つに定まらないポイントに着目して検討がなされる。

具体的には、二次生成部１０４は、車載装置１１１，１１４間における事象ＥＶの発生タイミング、及び車載装置１１６，１１８間における事象ＥＶの発生タイミングに基づいて、これらの合流および分岐の可能性について検討する。

図９は、実施形態にかかるＩＤＭ装置１０において検討される車載装置１１１，１１４間における事象ＥＶの発生タイミングを示す図である。なお、図９には、参考として車載装置１１２における事象ＥＶの発生タイミングも示す。

図９に示すように、車載装置１１１，１１２，１１４における事象ＥＶは、この順に発生している。車載装置１１１から車載装置１１４への攻撃経路の合流があったか否かは、車載装置１１１で事象ＥＶが発生してから第２の期間としての一定時間ＰＲａ内に、車載装置１１４で事象ＥＶが発生しているか否かに基づいて判定される。

図９の例では、車載装置１１１での事象ＥＶ発生から一定時間ＰＲａ内に、車載装置１１４での事象ＥＶが未発生である。このため、二次生成部１０４は、車載装置１１１から車載装置１１４への攻撃経路の合流はなかったものと判定する。

なお、図９の例では、車載装置１１２での事象ＥＶ発生から一定時間ＰＲｂ内に、車載装置１１４での事象ＥＶが発生している。この点からも、一次生成部１０３が生成したとおり、車載装置１１２から車載装置１１４へと向かう攻撃経路が存在することが推定される。

図１０は、実施形態にかかるＩＤＭ装置１０において検討される車載装置１１６，１１８間における事象ＥＶの発生タイミングを示す図である。なお、図１０には、参考として車載装置１１９における事象ＥＶの発生タイミングも示す。

図１０に示すように、車載装置１１６，１１８，１１９における事象ＥＶは、この順に発生している。車載装置１１６から車載装置１１８への攻撃経路の分岐があったか否かは、車載装置１１６で事象ＥＶが発生してから第１の期間としての一定時間ＰＲｃ内に、車載装置１１８で事象ＥＶが発生しているか否かに基づいて判定される。

図１０の例では、車載装置１１６での事象ＥＶ発生から一定時間ＰＲｃ内に、車載装置１１８での事象ＥＶが発生している。このため、二次生成部１０４は、車載装置１１６から車載装置１１８への攻撃経路の分岐があったものと判定する。

なお、図１０の例では、車載装置１１６での事象ＥＶ発生から一定時間ＰＲｃ内に、車載装置１１９での事象ＥＶも発生している。この点からも、一次生成部１０３が生成したとおり、車載装置１１６から車載装置１１９へと向かう攻撃経路が存在することが推定される。

二次生成部１０４は、以上の判定結果に基づいて、一次生成部１０３が生成した一次的な攻撃経路に分岐または合流があるときは、それらの攻撃経路を付与する。図１１に、二次生成部１０４によって二次的な攻撃経路が付与されたデータの例を示す。

図１１は、実施形態にかかるＩＤＭ装置１０が生成した攻撃経路の一例を示す図である。図１１の例では、一次生成部１０３が生成した一次的な攻撃経路に、二次生成部１０４が生成した二次的な攻撃経路が付与されている。

上述の図９の例では、車載装置１１１から車載装置１１４への攻撃経路の合流はないものと判定されている。このため、車載装置１１１から車載装置１１４に向かう二次的な攻撃経路は付与されていない。

上述の図１０の例では、車載装置１１６から車載装置１１８へと至る攻撃経路の分岐があったものと判定されている。このため、上述の車載装置１１２から車載装置１１４，１１６を経由して車載装置１１９に至る一次的な攻撃経路に対して、車載装置１１６から車載装置１１８へと分岐する二次的な攻撃経路が付与されている。

以上のように、一次生成部１０３及び二次生成部１０４による攻撃経路が生成される。一次生成部１０３及び二次生成部１０４による処理後の攻撃経路は、例えば上述の図１１の例のように、分岐および合流の少なくともいずれかを含む二次的な攻撃経路でありうる。あるいは、一次生成部１０３及び二次生成部１０４による処理後の攻撃経路は、分岐および合流のいずれも含まない一次的な攻撃経路でありうる。

なお、一次生成部１０３及び二次生成部１０４による攻撃経路の生成処理は、ネットワークのエントリーポイントより内部の車載装置に事象ＥＶが発生した場合に実施される。

すなわち、エントリーポイントである１つまたは複数の車載装置１１０～１１２に事象ＥＶが発生したのみでは攻撃経路の生成処理は行われない。１つまたは複数の車載装置１１０～１１２に加え、少なくとも、それらよりネットワーク内部の１つまたは複数の車載装置１１３，１１４に事象ＥＶが発生した場合に攻撃経路の生成処理を行う。

事象ＥＶ発生がエントリーポイントのみである場合、そもそも攻撃経路を想定するまでもなく、ＩＤＭ装置１０の処理負荷に見合わないからである。また、サイバー攻撃においては、多くの攻撃試行がなされる場合が主であり、エントリーポイントのみへの攻撃は想定しにくいためでもある。

また、一次生成部１０３及び二次生成部１０４による攻撃経路の生成処理は、ＩＤＳセンサ群１００ａからのログの取得タイミングに依存する。このため、攻撃経路の生成処理は、リアルタイムで一連の事象ＥＶが発生中、または一連の事象ＥＶの発生が終了した後のいずれかでありうる。

また、リアルタイムで攻撃経路の生成処理が行われる場合、生成済みの攻撃経路に繋がる下流側の車載装置で事象ＥＶが発生した場合は、生成済みの攻撃経路が更に延長したものとして取り扱われる。

また、一連の事象ＥＶの発生が終了した後に攻撃経路の生成処理を行ってなお、事象ＥＶの発生が見られた車載装置のうち、生成した攻撃経路のいずれにも属さない車載装置が残存している場合には、その車載装置に関して誤検知が含まれているものとして取り扱う。

（攻撃シナリオの推定例）
次に、図１２を用いて、ＩＤＭ装置１０の推定部１０５が行う攻撃シナリオの推定について説明する。図１２は、実施形態にかかるＩＤＭ装置１０が攻撃シナリオの推定に用いる既知攻撃データベース１０７ｂの一例を示す図である。

図１２に示すように、既知攻撃データベース１０７ｂは、既知の攻撃パターンを表す複数の攻撃シナリオの情報を保持している。攻撃パターンは、車載装置群１００において、攻撃が仕掛けられる順番、また、攻撃対象の車載装置に起きうる事象ＥＶ等が定義されている。上述のように、既知攻撃データベース１０７ｂは、例えばＩＤＭ装置１０の記憶部１０７に格納されている。

推定部１０５は、記憶部１０７から既知攻撃データベース１０７ｂを読み出す。また、推定部１０５は、読み出した既知攻撃データベース１０７ｂが保持する複数の攻撃パターンの中から、一次生成部１０３及び二次生成部１０４によって生成された攻撃経路に類似する攻撃パターンを抽出する。また、推定部１０５は、抽出した攻撃パターンに基づいて、ＩＤＳセンサ群１００ａから取得したログに含まれる事象ＥＶの攻撃シナリオを推定する。

図１２の例では、推定部１０５は、複数の攻撃シナリオから、シナリオＩＤ３の攻撃シナリオが、上述の一連の事象ＥＶにおける攻撃シナリオであると推定している。

（ＩＤＭ装置の攻撃経路生成方法）
次に、図１３及び図１４を用いて、実施形態のＩＤＭ装置１０による攻撃経路生成方法の例について説明する。図１３は、実施形態にかかるＩＤＭ装置１０による攻撃経路生成処理の手順の一例を示すフロー図である。

図１３に示すように、ＩＤＭ装置１０の一次生成部１０３は、ＩＤＳセンサ群１００ａから取得したログに基づいて、攻撃と想定される事象ＥＶがネットワーク上を侵入していった経路である攻撃経路であって、一次的な攻撃経路を生成する（ステップＳ１０１）。

より具体的には、一次生成部１０３が用いるデータは、集計部１０２が集計し、フィッティング処理を施した後のデータである。

一次生成部１０３は、１つの一次的な攻撃経路を生成した後、その攻撃経路以外に他の攻撃経路が無く、その１つの一次的な攻撃経路で攻撃経路の生成が完結したか否かを判定する（ステップＳ１０２）。攻撃経路の生成が完結するとは、攻撃と想定される事象ＥＶが起きた全ての車載装置が、生成された攻撃経路に含まれており、残存している車載装置がないことである。１つの一次的な攻撃経路で完結している場合には（ステップＳ１０２：Ｙｅｓ）、ＩＤＭ装置１０は処理を終了する。

１つの一次的な攻撃経路で完結していない場合（ステップＳ１０２：Ｎｏ）、一次生成部１０３は、一次的な攻撃経路を更に生成可能であるか否かを判定する（ステップＳ１０３）。別の一次的な経路を生成できない場合は（ステップＳ１０３：Ｎｏ）、ステップＳ１０６の処理に進む。

別の一次的な経路を生成可能であれば（ステップＳ１０３：Ｙｅｓ）、一次生成部１０３は、一次的な攻撃経路を更に生成する（ステップＳ１０４）。また、一次生成部１０３は、これら複数の一次的な攻撃経路で攻撃経路の生成が完結しうるか否かを判定する（ステップＳ１０５）。これらの一次的な攻撃経路で完結している場合には（ステップＳ１０５：Ｙｅｓ）、ＩＤＭ装置１０は処理を終了する。

複数の一次的な攻撃経路で完結していない場合（ステップＳ１０５：Ｎｏ）、二次生成部１０４は、これらの一次的な攻撃経路に含まれる車載装置の少なくともいずれかのネットワーク上の接続点に、分岐または合流があるか否かを判定する（ステップＳ１０６）。

いずれの車載装置の接続点にも分岐または合流が無い場合には（ステップＳ１０６：Ｎｏ）、ＩＤＭ装置１０は処理を終了する。この場合、生成された攻撃経路に含まれない車載装置が残存した状態で攻撃経路の生成が終了する。残存した車載装置は誤検知を含むものとして取り扱われる。

いずれかの車載装置の接続点に分岐または合流がある場合には（ステップＳ１０６：Ｙｅｓ）、二次生成部１０４は、車載装置群１００が有する既知のネットワーク構成に応じて、分岐および合流の少なくともいずれかを含む二次的な攻撃経路を生成する（ステップＳ１０７）。

以上により、実施形態のＩＤＭ装置１０による攻撃経路生成処理が終了する。

図１４は、実施形態にかかるＩＤＭ装置１０による二次的な攻撃経路の生成処理の手順の一例を示すフロー図である。図１４に示す処理は、上述の図１３のステップＳ１０７の処理の詳細である。

図１４に示すように、二次生成部１０４は、上述の一次生成部１０３の処理で生成された一次的な攻撃経路のうち、二次的な経路が未生成の経路であって、分岐および合流がなく、あるいは少ない経路を選択する（ステップＳ１１１）。

二次生成部１０４は、選択した経路上に、二次的な攻撃経路を生成しうる分岐または合流が存在するかを判定する（ステップＳ１１２）。分岐または合流が存在しない場合には（ステップＳ１１２：Ｎｏ）、二次生成部１０４は、ステップＳ１１３～Ｓ１１７の処理をスキップしてステップＳ１１８の処理へと進む。

選択した経路上に二次的な攻撃経路を生成しうる分岐が存在する場合には（ステップＳ１１２：Ｙｅｓ（分岐））、分岐点およびその下流側に接続される車載装置間での攻撃と想定される事象ＥＶが、一定時間内に発生しているか否かを判定する（ステップＳ１１３）。

事象ＥＶが一定時間内に発生している場合は（ステップＳ１１３：Ｙｅｓ）、二次生成部１０４は、それらの車載装置間に分岐経路を設定する（ステップＳ１１４）。事象ＥＶが一定時間内に発生していなかった場合には（ステップＳ１１３：Ｎｏ）、二次生成部１０４は、ステップＳ１１４，Ｓ１１７の処理をスキップしてステップＳ１１８の処理へと進む。

選択した経路上に二次的な攻撃経路を生成しうる合流が存在する場合には（ステップＳ１１２：Ｙｅｓ（合流））、合流点およびその上流側に接続される車載装置間での攻撃と想定される事象ＥＶが、一定時間内に発生しているか否かを判定する（ステップＳ１１５）。

事象ＥＶが一定時間内に発生している場合は（ステップＳ１１５：Ｙｅｓ）、二次生成部１０４は、それらの車載装置間に合流経路を設定する（ステップＳ１１６）。事象ＥＶが一定時間内に発生していなかった場合には（ステップＳ１１５：Ｎｏ）、二次生成部１０４は、ステップＳ１１６，Ｓ１１７の処理をスキップしてステップＳ１１８の処理へと進む。

二次生成部１０４は、分岐点およびその下流側に接続される車載装置間に設定した分岐経路があるときは、その分岐を含む二次的な攻撃経路を生成し、合流点およびその上流側に接続される車載装置間に設定した合流経路があるときは、その合流を含む二次的な攻撃経路を生成する（ステップＳ１１７）。

また、二次生成部１０４は、ステップＳ１１１～Ｓ１１７までの処理により、攻撃経路の生成が完結したか否かを判定する（ステップＳ１１８）。これまでに生成した攻撃経路で完結していない場合（ステップＳ１１８：Ｎｏ）、二次生成部１０４は、別の攻撃経路が生成可能か否かを判定する（ステップＳ１１９）。

別の一次的な経路を生成できない場合（ステップＳ１１９：Ｎｏ）、ＩＤＭ装置１０は処理を終了する。この場合、生成された攻撃経路に含まれない車載装置が残存した状態で攻撃経路の生成が終了する。残存した車載装置は誤検知を含むものとして取り扱われる。

別の一次的な経路を生成可能であれば（ステップＳ１１９：Ｙｅｓ）、攻撃経路の生成が完結するまで、ループＬ１（Ｓ）～Ｌ１（Ｅ）内のステップＳ１１１～Ｓ１１９までの処理を繰り返す。攻撃経路の生成が完結した場合（ステップＳ１１８：Ｙｅｓ）、ループＬ１（Ｓ）～Ｌ１（Ｅ）の処理を終了する。

以上により、実施形態のＩＤＭ装置１０による二次的な攻撃経路の生成処理が終了する。

その後、出力部１０６は、推定部１０５による攻撃シナリオの推定結果とともに、一次生成部１０３及び二次生成部１０４により生成された攻撃経路の生成結果をＳＩＥＭ装置２１に出力する。

ＳＩＥＭ装置２１の攻撃判定部２０１及び攻撃対処部２０２は攻撃経路の生成結果および、攻撃シナリオの推定結果に基づいて、ＩＤＳセンサ群１００ａが検知した事象ＥＶの攻撃判定および対策策定を行う。事象ＥＶに対する対策としては、例えば特定の車載装置における通信またはネットワークの遮断、ソフトウェアの更新、車載装置群１００を含むシステムの停止等がある。

（比較例）
サイバー攻撃の高度化により、サイバー攻撃を完全に防御するのは困難となりつつあり、サイバー攻撃発生後の対策が重要となっている。また、車載装置群等の制御システムにおいては、セキュリティ対策が万全でない場合もあり、攻撃の発生から非常に短時間で、機器の誤作動または破壊に至ってしまう可能性がある。

例えば上述の特許文献１には、複数の攻撃シナリオがログと合致した場合に、攻撃経路と対処回数を対応付けたテーブルを参照し、複数の推定攻撃が見つかった場合でも対処回数による優先度に基づいて１つの攻撃経路に特定する技術が開示されている。

しかしながら、サイバー攻撃における偵察行動のように、複数のノードが同時に攻撃され、複数の攻撃経路が生成されたような場合、１つの攻撃で１つの攻撃経路を前提とする上記技術では、充分な対応をとることは困難である。

一方、複数の攻撃経路が生成された場合であっても、それが分岐も合流も有さない一次的な攻撃経路であれば、上記技術を反復して実施すれば、複数の攻撃経路の特定が可能となるようにも思われる。しかしながら、複数の攻撃経路が生成され、その中に分岐または合流を有する攻撃経路が含まれる場合には、やはり、上記技術では不充分な対応となってしまう。

実施形態のＩＤＭ装置１０によれば、攻撃検知機能を有する車載装置群１００におけるログに基づいて、分岐および合流のない一次的な攻撃経路を生成し、一次的な攻撃経路から分岐し、または一次的な攻撃経路に合流する二次的な攻撃経路を生成する。これにより、複数の装置が同時に攻撃を受けた場合であっても攻撃経路を特定することができる。

実施形態のＩＤＭ装置１０によれば、二次的な攻撃経路は、一次的な攻撃経路に含まれる車載装置であって、ネットワークの合流点または分岐点に接続される車載装置に対する攻撃と想定される事象ＥＶから一定時間内に、攻撃と想定される事象ＥＶが起きている上流側または下流側の車載装置を含むこととする。これにより、一次的な攻撃経路に付随する二次的な攻撃経路の有無を判定することができ、二次的な攻撃経路を含む攻撃経路を適切に生成することができる。

実施形態のＩＤＭ装置１０によれば、車載装置群１００のうち、一次的な攻撃経路に含まれる車載装置であって、ネットワークの分岐点に接続される車載装置１１６に対する事象ＥＶと、ネットワークの分岐先に接続される２つ以上の車載装置１１８，１１９の中で、車載装置１１６が属する一次的な攻撃経路に含まれない車載装置１１８に対する事象ＥＶとが一定時間内に起きている場合には、一次的な攻撃経路からその車載装置１１８へと分岐する経路を生成する。これにより、一次的な攻撃経路から分岐する攻撃経路の有無を判定することができ、分岐を含む攻撃経路を適切に生成することができる。

実施形態のＩＤＭ装置１０によれば、車載装置群１００のうち、一次的な攻撃経路に含まれる車載装置であって、ネットワークの合流点に接続される車載装置１１４に対する事象ＥＶと、その車載装置１１４の上流側で合流点と接続している２つ以上の車載装置１１１，１１２の中で、車載装置１１４が属する一次的な攻撃経路に含まれない車載装置１１２に対する事象ＥＶとが一定時間内に起きている場合には、上流側の車載装置１１１から一次的な攻撃経路に合流する経路を生成する。これにより、一次的な攻撃経路に合流する攻撃経路の有無を判定することができ、合流を含む攻撃経路を適切に生成することができる。

実施形態のＩＤＭ装置１０によれば、既知の攻撃シナリオに基づいて、攻撃と想定される事象ＥＶにおける攻撃シナリオを推定する。これにより、ＳＩＥＭ装置２１に出力される情報の付加価値をよりいっそう高めることができる。

なお、上述の実施形態では、ＩＤＭ装置１０は推定部１０５を備え、その推定部１０５が、攻撃と想定される事象ＥＶにおける攻撃シナリオを推定することとした。しかし、攻撃シナリオの推定は、例えばＳＩＥＭ装置２１において実施されてもよい。

（変形例１）
次に、図１５～図１９を用いて、実施形態の変形例１のＩＤＭ装置２１０について説明する。変形例のＩＤＭ装置２１０は、二次的な攻撃経路を生成する際に、生成した攻撃経路に含まれる複数の車載装置をグループとして扱う点が上述の実施形態とは異なる。

図１５は、実施形態の変形例１にかかるＩＤＭ装置２１０及びＳＩＥＭ装置２１の機能構成の一例を示すブロック図である。なお、図１５においては、上述の実施形態と同様の構成に同様の符号を付し、その説明を省略する。

図１５に示すように、変形例１のＩＤＭ装置２１０は、上述の実施形態のＩＤＭ装置１０の構成に加え、グループ生成部２１８を備える。グループ生成部２１８は、生成された攻撃経路に含まれる幾つかの車載装置をグループ化する。グループ生成部２１８は、例えば攻撃経路生成プログラムを実行中のＩＤＭ装置２１０のＣＰＵにより実現される。

図１６は、実施形態の変形例１にかかるＩＤＭ装置２１０がＩＤＳセンサ群から取得したログにフィッティング処理を施したデータの一例を示す図である。

図１６の例では、車両に搭載される車載装置群１００には、車載装置１２０～１２９が含まれている。これらの車載装置１２０～１２９におけるネットワーク構成は、上述の実施形態の車載装置１１０～１１９におけるネットワーク構成とは異なっているものとする。

また、図１６の例では、これらの車載装置１２０～１２９のうち、車載装置１２０，１２３～１２６，１２８，１２９において、これらの車載装置に対する攻撃と想定される事象ＥＶが発生しているものとする。

一次生成部１０３は、まず、車載装置１２０から車載装置１２３へ向かう一次的な攻撃経路を生成する。グループ生成部２１８は、これらの車載装置１２０，１２３をグループ化したグループＧＰを生成する。

二次生成部１０４が、車載装置１２０，１２３が属する一次的な攻撃経路における分岐または合流の有無を検討する場合、車載装置１２０，１２３が属する一次的な攻撃経路はグループ単位で扱われる。図１６の例では、例えばグループＧＰにはグループＧＰの下流側で車載装置１２５が接続されていると見ることができる。また例えば、グループＧＰからは車載装置１２４が分岐していると見ることができる。

二次生成部１０４は、グループＧＰの下流側でグループＧＰから車載装置１２４への攻撃経路の分岐の可能性について検討する。このとき、二次生成部１０４は、グループＧＰから分岐する車載装置１２４と、グループＧＰに下流側で接続される車載装置１２５と、における事象ＥＶの発生タイミングに基づいて、グループＧＰから車載装置１２４への分岐の有無を判定する。

図１７は、実施形態の変形例１にかかるＩＤＭ装置２１０において検討される車載装置１２４，１２５間における事象ＥＶの発生タイミングを示す図である。

図１７に示すように、車載装置１２４，１２５における事象ＥＶは、この順に発生している。グループＧＰから車載装置１２４への攻撃経路の分岐があったか否かは、車載装置１２４での事象ＥＶと車載装置１２５での事象ＥＶとがいずれも、第４の期間としての一定時間ＰＲｄ内に発生しているか否かに基づいて判定される。

図１７の例では、車載装置１２４での事象ＥＶと車載装置１２５での事象ＥＶとがいずれも、一定時間ＰＲｄ内に発生している。このため、二次生成部１０４は、グループＧＰから車載装置１２４への攻撃経路の分岐があったものと判定する。

二次生成部１０４が、一次生成部１０３により生成された一次的な攻撃経路への合流について検討する場合にも、上記と同様に、一次的な攻撃経路に含まれる複数の車載装置をグループ単位で扱う。

図１８に、変形例１のＩＤＭ装置２１０によって生成された攻撃経路の一例を示す。図１８は、実施形態の変形例１にかかるＩＤＭ装置２１０が生成した攻撃経路の一例を示す図である。図１８の例では、一次生成部１０３が生成した一次的な攻撃経路から分岐する攻撃経路が、二次生成部１０４によって付与されている。

すなわち、図１８の例においては、一次生成部１０３によって、車載装置１２０から車載装置１２３を経由して車載装置１２５に至る一次的な攻撃経路が生成されている。また、二次生成部１０４によって、車載装置１２０から車載装置１２４へと分岐する二次的な攻撃経路が生成されている。

この二次的な攻撃経路において、さらに、車載装置１２４から車載装置１２６を経由して車載装置１２８，１２９のいずれかへと至る一次的な攻撃経路が、一次生成部１０３によって生成されている。車載装置１２８，１２９のいずれかもう一方へと分岐する二次的な攻撃経路は、二次生成部１０４によって更に付与されたものである。

次に、図１９を用いて、変形例１のＩＤＭ装置２１０による二次的な攻撃経路の生成方法の例について説明する。図１９は、実施形態の変形例１にかかるＩＤＭ装置２１０による二次的な攻撃経路の生成処理の手順の一例を示すフロー図である。

上述の実施形態の二次的な攻撃経路の生成処理では、個々の車載装置単体間における分岐または合流について検討していたのに対し、変形例１の二次的な攻撃経路の生成処理では、グループ化された複数の車載装置に対する所定の車載装置の分岐または合流について検討する。換言すれば、図１９に示すステップＳ１２２～Ｓ１２６の処理は、上述の実施形態の図１３に示すステップＳ１１２～Ｓ１１６の処理に対応している。

図１９に示すように、二次生成部１０４は、攻撃と想定される事象ＥＶが発生した所定の車載装置に隣接する生成済みの攻撃経路があるか否かを判定する（ステップＳ１２１）。隣接する攻撃経路がない場合には（ステップＳ１２１：Ｎｏ）、二次生成部１０４は、ステップＳ１２２～Ｓ１２７の処理をスキップしてステップＳ１２８の処理へと進む。

隣接する攻撃経路がある場合には（ステップＳ１２１：Ｙｅｓ）、二次生成部１０４は、その攻撃経路をグループ単位で扱って、その攻撃経路と、それに隣接する上述の車載装置との間に、二次的な攻撃経路を生成しうる分岐または合流が存在するかを判定する（ステップＳ１２２）。

分岐または合流が存在しない場合には（ステップＳ１２２：Ｎｏ）、二次生成部１０４は、ステップＳ１２３～Ｓ１２７の処理をスキップしてステップＳ１２８の処理へと進む。

攻撃経路と、それに隣接する上述の車載装置との間に、二次的な攻撃経路を生成しうる分岐が存在する場合には（ステップＳ１２２：Ｙｅｓ（分岐））、二次生成部１０４は、その攻撃経路に下流側で接続される車載装置と、攻撃経路に隣接する上述の車載装置とにおける攻撃と想定される事象ＥＶが、一定時間内に発生しているか否かを判定する（ステップＳ１２３）。

事象ＥＶが一定時間内に発生している場合は（ステップＳ１２３：Ｙｅｓ）、二次生成部１０４は、その攻撃経路と車載装置との間に分岐経路を設定する（ステップＳ１２４）。事象ＥＶが一定時間内に発生していなかった場合には（ステップＳ１２３：Ｎｏ）、二次生成部１０４は、ステップＳ１２４，Ｓ１２７の処理をスキップしてステップＳ１２８の処理へと進む。

攻撃経路と、それに隣接する上述の車載装置との間に、二次的な攻撃経路を生成しうる合流が存在する場合には（ステップＳ１２２：Ｙｅｓ（合流））、二次生成部１０４は、その攻撃経路に上流側で接続される車載装置と、攻撃経路に隣接する上述の車載装置とにおける攻撃と想定される事象ＥＶが、一定時間内に発生しているか否かを判定する（ステップＳ１２５）。

事象ＥＶが一定時間内に発生している場合は（ステップＳ１２５：Ｙｅｓ）、二次生成部１０４は、その攻撃経路と車載装置との間に合流経路を設定する（ステップＳ１２６）。事象ＥＶが一定時間内に発生していなかった場合には（ステップＳ１２５：Ｎｏ）、二次生成部１０４は、ステップＳ１２６，Ｓ１２７の処理をスキップしてステップＳ１２８の処理へと進む。

二次生成部１０４は、攻撃経路と、それに隣接する上述の車載装置との間に設定した分岐経路があるときは、その分岐を含む二次的な攻撃経路を生成し、攻撃経路と、それに隣接する上述の車載装置との間に設定した合流経路があるときは、その合流を含む二次的な攻撃経路を生成する（ステップＳ１２７）。

また、二次生成部１０４は、ステップＳ１２１～Ｓ１２７までの処理により、攻撃経路の生成が完結したか否かを判定する（ステップＳ１２８）。これまでに生成した攻撃経路で完結していない場合（ステップＳ１２８：Ｎｏ）、二次生成部１０４は、別の攻撃経路が生成可能か否かを判定する（ステップＳ１２９）。

別の一次的な経路を生成できない場合（ステップＳ１２９：Ｎｏ）、ＩＤＭ装置２１０は処理を終了する。この場合、生成された攻撃経路に含まれない車載装置が残存した状態で攻撃経路の生成が終了する。残存した車載装置は誤検知を含むものとして取り扱われる。

別の一次的な経路を生成可能であれば（ステップＳ１２９：Ｙｅｓ）、攻撃経路の生成が完結するまで、ループＬ２（Ｓ）～Ｌ２（Ｅ）内のステップＳ１２１～Ｓ１２９までの処理を繰り返す。攻撃経路の生成が完結した場合（ステップＳ１２８：Ｙｅｓ）、ループＬ２（Ｓ）～Ｌ２（Ｅ）の処理を終了する。

以上により、変形例１のＩＤＭ装置２１０による二次的な攻撃経路の生成処理が終了する。

変形例１のＩＤＭ装置２１０によれば、車載装置群１００のうち、グループＧＰに付随する分岐路上にある車載装置１２４に対する攻撃と、グループＧＰに下流側で接続される車載装置１２５に対する攻撃とが一定時間内に起きている場合には、グループＧＰから車載装置１２４へと分岐する経路を生成する。これにより、攻撃対象の可能性をより広く検討することができる。

（変形例２）
次に、図２０～図２３を用いて、実施形態の変形例２のＩＤＭ装置３１０について説明する。変形例２のＩＤＭ装置３１０は、事象ＥＶの発生数をカウントする点が上述の実施形態とはことなる。

図２０は、実施形態の変形例２にかかるＩＤＭ装置３１０及びＳＩＥＭ装置２１の機能構成の一例を示すブロック図である。なお、図２０においては、上述の実施形態と同様の構成に同様の符号を付し、その説明を省略する。

図２０に示すように、変形例２のＩＤＭ装置３１０は、上述の実施形態のＩＤＭ装置１０の構成に加え、目標推測部３１８を備える。

目標推測部３１８は、ＩＤＳセンサ群から取得したログにフィッティング処理を施したデータにおいて、一定時間内に事象ＥＶが発生した数をカウントする。また、目標推測部３１８は、攻撃経路における複数の分岐先のうち、事象ＥＶの発生数が最も多かった分岐先の車載装置の下流側に接続される１つ以上の車載装置が攻撃目標であると推測する。目標推測部３１８は、例えば攻撃経路生成プログラムを実行中のＩＤＭ装置３１０のＣＰＵにより実現される。

図２１は、実施形態の変形例２にかかるＩＤＭ装置３１０が生成した攻撃経路の一例を示す図である。

図２１の例では、車両に搭載される車載装置群１００には、車載装置１３０～１３９が含まれている。これらの車載装置１３０～１３９におけるネットワーク構成は、上述の実施形態の車載装置１１０～１１９におけるネットワーク構成とは異なっているものとする。

また、図２１の例では、これらの車載装置１３０～１３９のうち、車載装置１３０～１３３，１３５～１３９において、これらの車載装置に対する攻撃と想定される事象ＥＶが発生しているものとする。

一次生成部１０３は、上記フィッティング後のデータに基づいて攻撃経路を生成する。これにより、車載装置１３０から、車載装置１３１を経由して車載装置１３３に至る一次的な攻撃経路が生成されている。また、車載装置１３０から、車載装置１３２，１３５を経由して車載装置１３７に至る一次的な攻撃経路が生成されている。

また、二次生成部１０４により、車載装置１３５から車載装置１３８へと分岐する二次的な攻撃経路が生成されている。また、車載装置１３２から、車載装置１３６へと分岐して車載装置１３９に至る二次的な攻撃経路が生成されている。

一方、目標推測部３１８は、車載装置１３０～１３９について、第３の期間としての一定時間内に事象ＥＶが発生した数を攻撃発生数としてカウントする。

図２１の例では、車載装置１３１，１３２における事象ＥＶが一定時間内に発生したものとする。この場合、目標推測部３１８は、例えば車載装置１３１における攻撃発生数を２回中の１回目、つまり、１／２とカウントする。また、目標推測部３１８は、例えば車載装置１３２における攻撃発生数を２回中の２回目、つまり、２／２とカウントする。

図２１の例では、また、車載装置１３３における事象ＥＶが発生してから一定時間内に、事象ＥＶが発生した他の車載装置はなかったものとする。この場合、目標推測部３１８は、例えば車載装置１３３における攻撃発生数を１回とカウントする。

図２１の例では、また、車載装置１３５，１３６における事象ＥＶが一定時間内に発生したものとする。この場合、目標推測部３１８は、例えば車載装置１３５における攻撃発生数を２回中の１回目、つまり、１／２とカウントする。また、目標推測部３１８は、例えば車載装置１３６における攻撃発生数を２回中の２回目、つまり、２／２とカウントする。

図２１の例では、また、車載装置１３７，１３８における事象ＥＶが一定時間内に発生したものとする。この場合、目標推測部３１８は、例えば車載装置１３７における攻撃発生数を２回中の１回目、つまり、１／２とカウントする。また、目標推測部３１８は、例えば車載装置１３８における攻撃発生数を２回中の２回目、つまり、２／２とカウントする。

図２１の例では、また、車載装置１３９における事象ＥＶが発生してから一定時間内に、事象ＥＶが発生した他の車載装置はなかったものとする。この場合、目標推測部３１８は、例えば車載装置１３９における攻撃発生数を１回とカウントする。

各車載装置１３０～１３９について攻撃発生数をカウントした後、目標推測部３１８は、攻撃発生数のカウントに基づいて攻撃目標の車載装置を特定する。

具体的には、車載装置１３０を起点とする攻撃経路には、車載装置１３１，１３３へと向かう経路と、車載装置１３２，１３５，１３６へと向かう経路との分岐が見られる。この場合、目標推測部３１８は、車載装置１３０からの複数の分岐先のうち、車載装置１３１，１３３を含む分岐先と、車載装置１３２，１３５，１３６を含む分岐先との攻撃発生数を比較する。

図２１の例では、車載装置１３１，１３３を含む分岐先において、車載装置１３３での攻撃発生数は１回である。また、車載装置１３２，１３５，１３６を含む分岐先において、車載装置１３５，１３６での攻撃発生数は２回である。したがって、目標推測部３１８は、車載装置１３２，１３５，１３６を含む分岐先の下流側に接続される車載装置１３７～１３９の少なくともいずれかが攻撃目標であると推測する。

また、車載装置１３２を起点とする攻撃経路には、車載装置１３５，１３７，１３８へと向かう経路と、車載装置１３６，１３９へと向かう経路との分岐が見られる。この場合、目標推測部３１８は、車載装置１３２からの複数の分岐先のうち、車載装置１３５，１３７，１３８を含む分岐先と、車載装置１３６，１３９を含む分岐先との攻撃発生数を比較する。

図２１の例では、車載装置１３５，１３７，１３８を含む分岐先において、車載装置１３７，１３８での攻撃発生数は２回である。また、車載装置１３６，１３９を含む分岐先において、車載装置１３９での攻撃発生数は１回である。したがって、目標推測部３１８は、車載装置１３５，１３７，１３８を含む分岐先の最下流のポイントに接続される車載装置１３７，１３８の少なくともいずれかが攻撃目標であると推測する。

車載装置群１００のネットワーク構成において、最下流のポイントに接続される車載装置１３７～１３９まで攻撃目標の推測が行われると、目標推測部３１８は、最下流のポイントに接続される車載装置１３７～１３９であって、攻撃目標であると推測された車載装置１３７，１３８へと向かう攻撃経路を生成する。目標推測部３１８が生成した攻撃経路の一例を図２２に示す。

図２２は、実施形態の変形例２にかかるＩＤＭ装置３１０が、攻撃目標数のカウントに基づいて生成した攻撃経路の一例を示す図である。図２２に示すように、目標推測部３１８によって、車載装置１３０から車載装置１３２，１３５を経由して、車載装置１３７に至る攻撃経路と、車載装置１３８に至る攻撃経路とが生成されている。

このように、一次生成部１０３及び二次生成部１０４が生成した攻撃経路が、ネットワークの下流側で多方向に分岐している場合であっても、目標推測部３１８によって攻撃目標となる車載装置が絞り込まれる。

次に、図２３を用いて、変形例２のＩＤＭ装置３１０による攻撃経路の生成方法の例について説明する。

図２３は、実施形態の変形例２にかかるＩＤＭ装置３１０による攻撃発生数に基づく攻撃経路の生成処理の手順の一例を示すフロー図である。図２３の処理は、一次生成部１０３及び二次生成部１０４による攻撃経路の生成処理後に実施される。

図２３に示すように、目標推測部３１８は、一次生成部１０３及び二次生成部１０４が生成した攻撃経路上に分岐があるか否かを判定する（ステップＳ２０１）。攻撃経路上に分岐がない場合（ステップＳ２０１：Ｎｏ）、目標推測部３１８は、ステップＳ２０２の処理をスキップしてステップＳ２０３の処理に進む。

攻撃経路上に分岐がある場合（ステップＳ２０１：Ｙｅｓ）、目標推測部３１８は、所定の分岐の下流側において攻撃発生数が多い攻撃経路を選択する（ステップＳ２０２）。

また、目標推測部３１８は、一次生成部１０３及び二次生成部１０４が生成した攻撃経路の全体に亘って、上記のステップＳ２０１，Ｓ２０２の処理が終了したか否かを判定する（ステップＳ２０３）。攻撃経路に未処理の部分がある場合（ステップＳ２０３：Ｎｏ）、目標推測部３１８は、攻撃経路の全体に亘って処理が終了するまで、ループＬ３（Ｓ）～Ｌ３（Ｅ）内のステップＳ２０１～Ｓ２０３までの処理を繰り返す。攻撃経路の全体に亘って処理が終了した場合（ステップＳ２０３：Ｙｅｓ）、ループＬ３（Ｓ）～Ｌ３（Ｅ）の処理を終了する。

以上により、変形例２のＩＤＭ装置３１０による攻撃発生数に基づく攻撃経路の生成処理が終了する。

変形例２のＩＤＭ装置３１０によれば、一定時間内に事象ＥＶが発生した数を攻撃発生数としてカウントし、二次的な攻撃経路が分岐している場合に、複数の分岐先のうち攻撃発生数が他の分岐先より多かった分岐先の車載装置１３５の下流側に接続される１つ以上の車載装置１３７，１３８へと向かう攻撃経路を生成する。

これにより、例えばネットワークの下流側で攻撃経路に多数の分岐が生じているような場合であっても、攻撃目標となっている車載装置を絞り込むことができる。よって、攻撃経路の向かう先を可視化することができ、攻撃者がどこに関心を持っているのかをマクロに判定することが可能となる。

以上、本発明の実施の形態について説明したが、上述した実施の形態は、例として提示したものであり、本発明の範囲を限定することは意図していない。この新規な実施の形態は、その他の様々な形態で実施されることが可能である。また、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。また、この実施の形態は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０，２１０，３１０ＩＤＭ装置
２０データセンタ
２１ＳＩＥＭ装置
２２データベース
１００車載装置群
１００ａＩＤＳセンサ群
１０１取得部
１０２集計部
１０３一次生成部
１０４二次生成部
１０５推定部
１０６出力部
１０７記憶部
１０７ａネットワーク構成データベース
１０７ｂ既知攻撃データベース
２１８グループ生成部
３１８目標推測部
ＮＴｃネットワーク
ＮＴｅ外部ネットワーク
ＶＨ車両

Claims

分岐および合流の少なくともいずれかを含むネットワークに接続され、それぞれが攻撃検知機能を有する複数の装置におけるログを取得することで、前記複数の装置における攻撃経路を生成する情報処理装置にて実行される攻撃経路生成方法であって、
取得した前記ログに基づいて分岐および合流のない一次的な攻撃経路を生成し、
前記ログに基づいて前記一次的な攻撃経路から分岐し、または前記一次的な攻撃経路に合流する二次的な攻撃経路を生成し、
生成した前記一次的な攻撃経路および前記二次的な攻撃経路を、攻撃判定を行う装置に出力し、
前記二次的な攻撃経路は、
前記一次的な攻撃経路に含まれる装置であって前記ネットワークの合流点または分岐点に接続される装置に対する攻撃と想定される事象から一定時間内に攻撃と想定される事象が起きている上流側または下流側の装置を含めた攻撃経路である、
攻撃経路生成方法。
前記二次的な攻撃経路を生成する場合、
前記複数の装置のうち、前記一次的な攻撃経路に含まれる装置であって前記ネットワークの分岐点に接続される第１の装置に対する前記事象と、前記ネットワークの分岐先に接続される２つ以上の装置の中で前記一次的な攻撃経路に含まれない第２の装置に対する前記事象とが第１の期間内に起きている場合には、前記一次的な攻撃経路から前記第２の装置へと分岐する経路を生成する、
請求項１に記載の攻撃経路生成方法。
前記一次的な攻撃経路として第１の攻撃経路と第２の攻撃経路とを生成し、
前記二次的な攻撃経路を生成する場合、
前記複数の装置のうち、前記第１の攻撃経路に含まれる装置であって前記ネットワークの分岐点に接続される第３の装置に対する前記事象と、前記ネットワークの分岐先に接続される２つ以上の装置の中で前記第１の攻撃経路に含まれない第４の装置に対する前記事象とが前記第１の期間内に起きている場合には、前記第１の攻撃経路から前記第４の装置へと分岐する経路を生成する、
請求項２に記載の攻撃経路生成方法。
前記二次的な攻撃経路を生成する場合、
前記複数の装置のうち、前記一次的な攻撃経路に含まれる装置であって前記ネットワークの合流点に接続される第５の装置に対する前記事象と、前記第５の装置の上流側で前記合流点と接続している２つ以上の装置の中で前記一次的な攻撃経路に含まれない第６の装置に対する前記事象とが第２の期間内に起きている場合には、前記第６の装置から前記一次的な攻撃経路に合流する経路を生成する、
請求項１または請求項２に記載の攻撃経路生成方法。
前記一次的な攻撃経路として第１の攻撃経路と第２の攻撃経路とを生成し、
前記二次的な攻撃経路を生成する場合、
前記複数の装置のうち、前記第１の攻撃経路に含まれる装置であって前記ネットワークの合流点に接続される第７の装置に対する前記事象と、前記第７の装置の上流側で前記合流点と接続している２つ以上の装置の中で前記第１の攻撃経路に含まれない第８の装置に対する前記事象とが前記第２の期間内に起きている場合には、前記第８の装置から前記第２の攻撃経路に合流する経路を生成する、
請求項４に記載の攻撃経路生成方法。
第３の期間内に前記事象が発生した数を攻撃発生数としてカウントし、前記二次的な攻撃経路が分岐している場合に、複数の分岐先のうち前記攻撃発生数が他の分岐先より多かった分岐先の装置の下流側に接続される１つ以上の装置へと向かう攻撃経路を生成する、
請求項１から請求項５のいずれか１項に記載の攻撃経路生成方法。
前記複数の装置のうち２つ以上の装置を含む前記一次的な攻撃経路のグループを生成し、
前記二次的な攻撃経路を生成する場合、
前記複数の装置のうち、前記グループに付随する分岐路上にある第９の装置に対する攻撃と、前記グループに下流側で接続される第１０の装置に対する攻撃とが第４の期間内に起きている場合には、前記グループから前記第９の装置へと分岐する経路を生成する、
請求項１乃至請求項４のいずれか１項に記載の攻撃経路生成方法。
既知の攻撃シナリオに基づいて前記事象における攻撃シナリオを推定する、
請求項１から請求項７のいずれか１項に記載の攻撃経路生成方法。
分岐および合流の少なくともいずれかを含むネットワークに接続され、それぞれが攻撃検知機能を有する車載電子制御ユニットとして構成される複数の装置におけるログを取得することで、前記複数の装置における攻撃経路を生成する車載用の攻撃経路生成装置であって、
取得した前記ログに基づいて分岐および合流のない一次的な攻撃経路を生成する一次生成部と、
前記ログに基づいて前記一次的な攻撃経路から分岐し、または前記一次的な攻撃経路に合流する二次的な攻撃経路を生成する二次生成部と、
生成した前記一次的な攻撃経路および前記二次的な攻撃経路を、攻撃判定を行う外部装置に出力する出力部と、を備え、
前記二次生成部は、
前記一次的な攻撃経路に含まれる装置であって前記ネットワークの合流点または分岐点に接続される装置に対する攻撃と想定される事象から一定時間内に攻撃と想定される事象が起きている上流側または下流側の装置を含めた二次的な攻撃経路を生成する、
攻撃経路生成装置。