CN117836769A - 车辆安全分析装置、方法以及其程序 - Google Patents

车辆安全分析装置、方法以及其程序 Download PDF

Info

Publication number
CN117836769A
CN117836769A CN202280057310.XA CN202280057310A CN117836769A CN 117836769 A CN117836769 A CN 117836769A CN 202280057310 A CN202280057310 A CN 202280057310A CN 117836769 A CN117836769 A CN 117836769A
Authority
CN
China
Prior art keywords
analysis
vehicle
target data
type
correspondence
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202280057310.XA
Other languages
English (en)
Inventor
上野哲
若杉厚司
中田健介
千叶靖伸
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ntt Security Japan Co ltd
NTT Communications Corp
Original Assignee
Ntt Security Japan Co ltd
NTT Communications Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ntt Security Japan Co ltd, NTT Communications Corp filed Critical Ntt Security Japan Co ltd
Publication of CN117836769A publication Critical patent/CN117836769A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H04L43/065—Generation of reports related to network devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Small-Scale Networks (AREA)

Abstract

即使成为管理对象的车载装置的种类增加，也能够抑制分析对象数据的分析处理所需的处理负荷的增加以及分析总处理能力的下降。关于车辆安全分析装置，将表示车辆结构、与针对每种该车辆结构预先准备的多个分析逻辑之间的对应关系的对应信息预先存储于存储部。而且，每当取得分析对象数据时，基于在已取得的分析对象数据中包含的属性信息所包含的车辆识别信息，对成为该分析对象数据的发生源的车辆结构的种类进行判定，根据上述对应信息而选择与判定出的所述车辆结构的种类对应的分析逻辑。而且，按照所选择的上述分析逻辑，对上述分析对象数据进行分析而确定网络攻击的种类，生成并输出包含其结果在内的分析报告。

Description

车辆安全分析装置、方法以及其程序
技术领域
本发明的一个方式涉及例如用于监视并分析在车辆内构建的车载网络的安全状态的车辆安全分析装置、和在该装置中执行的方法及程序。
背景技术
近年来，各车辆厂商推进了能够在包含电子控制单元(ElectricControl Unit：ECU)等在内的车载网络与外部网络的服务器装置之间进行各种数据的收发的互联车辆(Connected car)的开发。互联车辆例如在实现导航***的地图数据的更新、自动驾驶涉及的高水平的服务的方面极其有用，但车载网络与外部网络连接，因此有可能从外部网络受到利用恶意软件、病毒等的网络攻击。
因此，最近研究了设置车辆安全操作中心(Security OperationCenter：SOC)，并在该车辆SOC中分析针对车载***的网络威胁/攻击的种类、内容的各种技术。例如，在搭载于监视对象的车辆的车载装置配置多种传感器，经由网络并利用车辆SOC而收集从上述传感器发生的传感器日志。而且，在车辆SOC基于收集的上述传感器日志而分析针对上述车载装置的网络威胁/攻击(例如参照专利文献1)。
专利文献1：日本特开2020-119090号公报
发明内容
但是，监视对象的车辆存在各种车型，另外，即使车型相同，如果年式、等级不同，则搭载于车辆的车载装置的结构也不同。并且，在各车载装置，通常在各种部位设置多种传感器。因此，由车辆SOC收集的日志数据的种类、数量庞大，由此用于车辆SOC的分析的处理负荷非常高，另外，分析总处理能力下降。
本发明就是着眼于上述情形而提出的，一个方案要提供即使成为管理对象的车载装置的种类增加，也能够抑制分析对象数据的分析处理所需的处理负荷的增加以及分析总处理能力的下降的技术。
为了解决上述问题，本发明的一个方式是经由网络取得并分析与搭载于车辆且能够连接至网络的车载装置的动作状态相关的分析对象数据的装置或方法，将表示所述车辆、和与搭载于该车辆的所述车载装置的种类对应地预先准备的多个分析逻辑之间的对应关系的对应信息设定于存储部。而且，每当取得所述分析对象数据时，基于所取得的所述分析对象数据所包含的属性信息，对成为该分析对象数据的发生源的所述车载装置的种类进行判定，基于所述对应信息而从所述多个分析逻辑中选择与判定出的所述车载装置的种类对应的所述分析逻辑，按照所选择的所述分析逻辑，对所述分析对象数据进行分析，生成并输出表示分析结果的信息。
根据本发明的一个方式，每当从车载装置取得分析对象数据时，从多个分析逻辑中选择与其发生源的车载装置的种类相关联的分析逻辑，根据所选择的分析逻辑，进行上述分析对象数据的分析处理。即，将各分析对象数据分配给具有与其分析处理对应的功能的分析逻辑而进行分散处理。因此，无论车载装置的种类如何，与例如利用1种综合分析逻辑、或者按照已决定的顺序选择多个分析逻辑而对其所有分析对象数据进行分析处理的情况相比，都能够减轻分析处理所需的处理负荷，并且能够抑制分析处理的总处理能力的下降。
发明的效果
即，根据本发明的一个方式，能够提供一种即使成为监视对象的车载装置的种类增加，也能够抑制分析对象数据的分析处理所需的处理负荷的增加以及分析总处理能力的下降的技术。
附图说明
图1是表示包含本发明的一个实施方式涉及的车辆安全分析装置在内的车辆安全监视***的整体结构的图。
图2是表示在图1所示的***中成为网络安全的分析对象的车载装置的结构的一个例子的图。
图3是表示本发明的一个实施方式涉及的车辆安全分析装置的硬件结构的框图。
图4是表示本发明的一个实施方式涉及的车辆安全分析装置的软件结构的框图。
图5是表示图4所示的车辆安全分析装置具有的车辆结构对应数据库的一个例子的图。
图6是表示图4所示的车辆安全分析装置具有的分析逻辑数据库的一个例子的图。
图7是表示由图4所示的车辆安全分析装置进行的分析处理的流程和处理内容的流程图。
具体实施方式
下面，参照附图对本发明涉及的实施方式进行说明。
[一个实施方式]
(结构例)
(1)***
图1是表示本发明的一个实施方式涉及的车辆安全监视***的结构的一个例子的图。
一个实施方式涉及的车辆安全监视***具有例如车辆厂商运用的OEM(OriginalEquipment Manufacture)中心CN。此外，通常OEM
中心CN针对每个车辆厂商而设置，在这里以一个车辆厂商的OEM中心CN为例进行说明。
车辆厂商的OEM中心CN能够与本公司管理的多台车辆MV1～MVn之间经由移动通信网络MNW以及网关GW1而传送数据。OEM中心CN对车辆MV1～MVn提供面向该车辆的各种服务，具有管理服务器OSV。OEM中心CN在管理服务器OSV的控制下，例如经由上述移动通信网络MNW以及网关GW1而收集从车辆MV1～MVn发送的传感器日志数据，并对后述的车辆SOC服务器SSV提供所收集的传感器日志数据。另外，与此同时，还承担对车辆MV1～MVn分配软件、更新分配后的软件的作用。
此外，作为移动通信网络MNW，例如使用蜂窝移动通信网络或者无线LAN(LocalArea Network)，但并不局限于此。
车辆安全操作中心(Security Operation Center：SOC)服务器SSV与车辆厂商的OEM中心CN连接。车辆SOC服务器SSV作为本发明的一个实施方式涉及的车辆安全分析装置而使用，后文中对其功能详细进行说明。
车辆厂商的OEM中心CN经由网关GW2还与互联网INW连接，经由该互联网INW还能够与外部服务器ESV之间进行数据通信。外部服务器ESV例如由Auto-ISAC(AutomotiveInformation Sharing and Analysis Center)运用管理，具有对与互联车辆相关联的网络威胁、潜在的脆弱性相关的威胁信息进行积蓄的数据库，对车辆SOC服务器SSV提供积蓄于该数据库的信息。
另外，车辆安全监视***例如具有车辆厂商运用的SIRT(Security IncidentResponse Team)服务器ISV。SIRT服务器ISV能够与对应的车辆厂商的OEM中心CN之间、以及与车辆SOC服务器SSV之间传送数据。
例如用于通过车辆厂商或者其车载装置的开发生命周期实施所需的安全管理、支持、偶发事件的应对的组织(SIRT)运用SIRT服务器ISV。SIRT服务器ISV例如具有对车辆厂商固有的网络威胁信息进行存储的威胁信息数据库，根据来自车辆SOC服务器SSV的请求而将网络威胁信息向车辆SOC服务器SSV发送。
另外，SIRT服务器ISV例如对SIRT的管理者提示从车辆SOC服务器SSV提供的安全分析报告。而且，具有如下功能，即，在基于上述分析报告而输入了SIRT的管理者针对不同车辆厂商决定的应对方针等的情况下，将包含该应对方针等在内的召回指示向相应的车辆发送。此外，网络威胁信息例如由威胁的种类和危险度的尺度的组合进行定义。分析报告例如也使用上述威胁的种类和危险度的尺度的组合进行记述。
(2)装置
(2-1)车载装置VU
图2是表示分别搭载于车辆MV1～MVn的车载装置VU的结构的一个例子的框图。
车载装置VU具有多个电子控制单元(Electric Control Unit：ECU)4。ECU4例如经由被称为CAN(Control Area Network)的车载网络2而与车载网关(CGW)1连接。另外，通信控制单元(TCU)5以及导航装置(IVI)3与CGW1连接。
ECU4构成为，通过分别使处理器执行程序而发挥规定的控制功能，例如用作对发动机、变速器、转向角、加速器、制动器等进行控制的装置，对方向灯、车灯、雨刷进行控制的装置，对门锁及车窗的开闭进行控制的装置，对空调进行控制的装置等。另外，在车辆MV1～MVn设置有速度传感器、温度传感器、振动传感器等对以车辆的动作状态涉及的各种车辆传感器的测量数据为首且包含驾驶者等在内的车内的状态进行监视的车内传感器、对车外的状况进行监视的车外传感器等多个传感器，ECU4还用作取入从上述传感器输出的传感数据的装置。并且，还用作监视自动驾驶控制装置、驾驶者的状态的装置。
TCU5在车载装置VU与移动通信网络MNW之间进行使用了IP(Internet Protocol)的通信，用于收发驾驶者或者搭乘者的通话数据、或者从Web网站接收导航更新数据，将表示车载装置VU的各结构要素的动作状态的检测结果的日志数据向车辆厂商的OEM中心CN发送。
IVI3具有USB端口以及无线接口。而且，具有如下功能，即，经由USB端口而与USB仪器(省略图示)之间进行各种数据的写入及读出，并且经由无线接口而进行与智能手机等便携终端之间的数据的收发、与外部之间的数据的收发。此外，作为无线接口，例如使用Bluetooth(注册商标)或者WiFi(注册商标)。
此外，车载装置VU具有外部接口端口(OBD-II)6。试验装置、个人计算机能够与该OBD-II端口6连接。试验装置、个人计算机例如用于进行ECU4的试验、或者相对于ECU4而安装更新程序、控制数据。
CGW1在TCU5与各ECU4、IVI3以及OBD-II端口6之间进行数据传输时，分别进行IP/CAN的协议变换。
此外，以上对车载装置VU的一个例子进行了叙述，但车载装置VU的种类即结构、功能当然根据每个车辆厂商而不同，即使是同一车辆厂商，例如也根据每种车型或每种年式而结构或者功能不同。
(2-2)车辆SOC服务器SSV
图3及图4分别是表示车辆SOC服务器SSV的硬件结构以及软件结构的框图。
车辆SOC服务器具有如下功能，即，取代车辆厂商的OEM中心CN而分析针对车辆MV1～MVn进行的网络攻击，将分析结果通知给相对应的车辆厂商的SIRT服务器ISV。
车辆SOC服务器SSV例如由配置于云端上的服务器计算机构成，具有使用了中央处理单元(Central Processing Unit：CPU)等硬件处理器的控制部10。而且，对于该控制部10，经由总线50而将通信I/F40与具有程序存储部20及数据存储部30的存储单元连接。
通信I/F40在控制部10的控制下，使用由网络MNW、INW定义的通信协议而与各车辆厂商的OEM中心CN、SIRT服务器ISV以及外部服务器ESV之间分别进行数据传送。
程序存储部20例如是作为存储介质而对HDD(Hard Disk Drive)或者SSD(SolidState Drive)等能够随时写入及读出的非易失性存储器和ROM(Read Only Memory)等非易失性存储器进行组合得到的，在OS(Operating System)等中间件的基础上，对为了执行本发明的一个实施方式涉及的各种控制处理所需的程序进行储存。
数据存储部30例如是作为存储介质而将HDD或者SSD等能够随时写入及读出的非易失性存储器、和RAM(Random Access Memory)等易失性存储器组合得到的，作为为了实施本发明的一个实施方式所需的存储区域，具有分析对象数据存储部31、车辆结构对应数据库(此后将数据库简称为DB)32、分析逻辑DB33以及分析结果存储部34。
分析对象数据存储部31用于将从车辆厂商的OEM中心CN取得的传感器日志数据作为分析对象数据而暂时保存。
车辆结构对应DB32与针对管理对象的所有车辆MV1～MVn分别分配的车辆识别号码(Vehicle Identification Number：VIN)分别相关联地存储有与该车辆识别号码对应的车辆结构标识符。图5表示车辆结构DB32中存储的、车辆识别号码与车辆结构标识符的对应关系的一个例子。
分析逻辑DB33与上述车辆结构标识符分别相关联地，存储有与该车辆结构标识符对应的分析逻辑。分析逻辑是对应于车辆结构、即搭载于车辆MV1～MVn的车载装置VU的种类而分别专门准备的。图6表示上述分析逻辑DB33所存储的车辆结构标识符与分析逻辑的对应关系的一个例子。
分析结果存储部34用于暂时保存表示由后述的控制部10的分析处理部14得到的分析结果的信息而生成分析报告。
作为本发明的一个实施方式涉及的处理功能，控制部10具有分析对象数据取得处理部11、车辆结构判定处理部12、分析逻辑选择处理部13、分析处理部14以及分析报告输出处理部15。上述处理部11～15均通过使控制部10的硬件处理器执行在程序存储部20中储存的程序而实现。
分析对象数据取得处理部11进行如下处理，即，经由OEM中心CN而取得从各车辆MV1～MVn发送的传感器日志数据，将已取得的上述传感器日志数据作为分析对象数据而保存于上述分析对象数据存储部31。
车辆结构判定处理部12从分析对象数据存储部31读入传感器日志数据，从该传感器日志数据所包含的车辆属性信息提取发送源的车辆的车辆识别号码。而且，进行参照上述车辆结构对应DB32而判定与上述车辆识别号码对应的车辆结构标识符的处理。
此外，在上述车辆结构对应DB32取代上述车辆识别号码而与车型的识别信息相关联地存储有车辆结构标识符的情况下，车辆结构判定处理部12可以从传感器日志数据所包含的车辆属性信息提取发送源的车辆的车型的识别信息，利用该车型的识别信息而从上述车辆结构对应DB32检索相对应的车辆结构标识符。总之，如果是能够确定车辆结构的信息，则可以使用车辆属性信息所包含的任何信息。
分析逻辑选择处理部13进行如下处理，即，基于由上述车辆结构判定处理部12判定出的车辆结构标识符而检索分析逻辑DB33，选择性地读出与上述车辆结构标识符相关联的分析逻辑。
分析处理部14基于由上述分析逻辑选择处理部13选择性地读出的上述分析逻辑，对在上述分析对象数据存储部31中保存的各传感器日志数据进行分析，由此确定在车载装置VU中发生的网络威胁/攻击的种类。而且，进行如下处理，即，将确定出的网络威胁/攻击的种类作为表示分析结果的信息而保存于分析结果存储部34。
分析报告输出处理部15单独利用或者利用多个在上述分析结果存储部34中保存的分析结果而生成分析报告。而且，进行如下处理，即，将所生成的分析报告从通信I/F40向SIRT服务器ISV发送。
(动作例)
接下来，对以上述方式构成的车辆SOC服务器SSV的动作例与整个车辆安全监视***的动作一起进行说明。
(1)与车载装置VU相关的网络威胁/攻击的检测
针对车载装置VU的网络威胁/攻击的种类例如具有：
(a)从被篡改的Web网站、攻击者的终端经由互联网INW而在车载装置VU内的通信设备(例如TCU5、IVI3)引起恶意软件感染等的攻击
(b)从外部的无线通信设备对车载装置VU的通信设备(例如TCU5或者IVI3)发送具有恶意的远程操作命令，并引起违背了驾驶者的意图的操作的攻击
(c)将个人计算机等外部终端不当地与OBD-II端口6连接，从该外部终端对ECU4等输入不当命令而引起ECU4的设定变更、ECU4的信息的榨取、违背了驾驶者的意图的操作的攻击
(d)将在恶意软件感染完毕的智能手机等便携终端与Bluetooth或者WiFi的无线接口连接，以上述便携终端为踏板而进行向车载装置VU的ECU4等的不当命令的发送、OS的占用、固件的改写等的攻击
(e)使IVI3的应用感染恶意软件，进行向车载装置VU的ECU4等的不当命令的发送、OS的占用、固件的改写等的攻击等。
另外，网络威胁/攻击的模式例如具有下面的多个阶段。
(1)初期潜入；例如使车载装置VU的通信设备(TCU5、IVI3)感染恶意软件等的行为
(2)基础构建；从感染了恶意软件的通信设备(TCU5、IVI3)例如经由车辆厂商的OEM中心CN或者互联网INW而与攻击者的服务器、终端之间构建基于C&C通信的远程控制基础的行为
(3)内部侵入/调查；例如侵入TCU5、IVI3或者CGW1内而进行其内部调查的行为
(4)目的实现；从TCU5、IVI3或者ECU4榨取信息的行为、以TCU5或者IVI3为踏板针对与OEM中心CN或者互联网INW连接的服务器等进行攻击的行为、经由TCU5或者IVI3对ECU4等车载装置VU内部的结构要素进行远程控制的行为
(5)初期潜入+目的实现；在侵入TCU5或者IVI3之后，省略上述基础构建、内部侵入/调查的阶段，对上述信息的榨取、以车载装置VU为踏板的向与OEM中心CN或者互联网INW连接的服务器等的攻击、ECU4等的车载装置VU内部的结构要素进行远程控制的行为。
考虑如上网络威胁/攻击的种类及模式，在车载装置VU内的各结构要素、例如TCU5、IVI3、ECU4以及CGW1分别设置传感器。
例如，在TCU5及IVI3设置在TCU5或者IVI3中检测经由网络的攻击的主机设置型传感器。该传感器例如具有如下功能：通过与威胁情报或者表示恶性IP地址的列表的IP声誉列表(IP地址)的对照而检测攻击的功能；检测出通常不发生的向收发IP地址、端口的访问(许可/拒绝/废弃)的发生、登录成功/失败的发生、收发MAC地址(Media Access ControlAddress)的发生作为异常的功能；检测出SSL/TLS(Secure Socket Layer/TransportLayer Security)证书的检验错误日志作为异常的功能；检测出基于CAN2的ID过滤器的检验的拒绝日志的发生作为异常的功能；检测出通过CAN2的IDS检查逻辑检测的情况作为异常的功能；以及检测出CAN消息的MAC检验错误的发生作为异常的功能。
另外，在TCU5以及IVI3还设置有检测在该TCU5以及IVI3上发生的攻击的传感器。该传感器例如具有如下功能：检测出根据抗病毒的签名而检测出的病毒作为攻击的功能；检测出通过沙箱的动态解析/动作检测而检测出的情况作为攻击的功能；检测出白名单的执行禁止文件的尝试执行时的日志作为异常的功能；检测出署名不匹配的检测日志作为异常的功能；在发生了通常不发生的登录成功/失败时作为异常而检测出的功能；检测出通常不发生的权限操作作为异常的功能；检测出通常不发生的过程的执行/结束作为异常的功能；检测出通常不发生的资源利用量的增加等作为异常的功能；以及检测出安全启动时的署名不匹配作为异常的功能。
任意传感器均实时地或者在规定的发送定时(timing)向车辆厂商的OEM中心CN发送表示检测结果的传感器日志数据。
此外，在车辆厂商的OEM中心CN也设置传感器。该传感器在网络上检测针对车载装置VU的经由网络的攻击，具有与此前叙述的主机设置型传感器大致相同的功能。
(2)车辆SOC服务器SSV的网络威胁/攻击的分析
图7是表示由车辆SOC服务器SSV的控制部10执行的分析处理的处理流程和处理内容的一个例子的流程图。
(2-1)威胁信息的取得
车辆SOC服务器SSV的控制部10在分析处理之前，从外部服务器ESV以及SIRT服务器ISV定期地或者在任意定时取得定义了互联车辆相关联的网络威胁/攻击、潜在的脆弱性等的信息，具体而言，取得由威胁种类和危险度的尺度定义了网络威胁/攻击的信息。而且，将已取得的信息作为威胁信息而存储于数据存储部30内的威胁信息存储区域(省略图示)。
此外，上述威胁信息的取得处理可以是从车辆SOC服务器SSV访问外部服务器ESV或者SIRT服务器ISV而取得的方式，也可以是车辆SOC服务器SSV接收由外部服务器ESV或者SIRT服务器ISV定期或者不定期地以推送方式发送的威胁信息的方式。另外，威胁信息的取得并非必不可少，可以根据需要而实施。
(2-2)分析对象数据的取得
在各车辆MV1～MVn的车载装置VU中，如前所述，在TCU5以及IVI3等各结构要素设置的传感器对由网络威胁/攻击引起的动作异常或者异常的数据进行监视。而且，如果检测出动作异常或者异常的数据，则将表示其检测结果的传感器日志数据与包含上述车辆MV1～MVn的车辆识别号码在内的车辆属性信息一起，向相对应的车辆厂商的OEM中心CN发送。此外，传感器日志数据中包含表示检测出异常动作或者异常数据的传感器的信息、以及签名的信息或者表示DST的信息等。
OEM中心CN如果接收到从管理对象的车辆MV1～MVn发送来的传感器日志数据，则在暂时保存了接收到的传感器日志数据之后，根据来自车辆SOC服务器SSV的基于轮询等的取得请求而向车辆SOC服务器SSV传输。
与此相对，车辆SOC服务器SSV的控制部10在分析对象数据取得处理部11的控制下，通过步骤S10等待至分析对象数据的取得定时，如果到达取得定时，则在步骤S11中通过轮询等而对OEM中心CN发送取得请求。而且，经由通信I/F40而接收根据上述取得请求从OEM中心CN发送的传感器日志数据，将接收到的上述传感器日志数据作为分析对象数据而暂时保存于分析对象数据存储部31。
此后同样地在分析对象数据取得处理部11中，每当到达取得定时就反复执行上述传感器日志数据的取得处理。此外，分析对象数据的取得处理除了通过来自车辆SOC服务器SSV的轮询而主动地进行的方式以外，也可以是接收到来自OEM中心CN的通知而被动地进行的方式。
(2-3)车辆结构的判定
车辆SOC服务器SSV的控制部10每当取得了新的传感器日志数据时或者在任意定时，在车辆结构判定处理部12的控制下，首先在步骤S12中从分析对象数据存储部31读入传感器日志数据。而且，从所读入的上述传感器日志数据提取车辆属性信息所包含的车辆识别号码，通过参照车辆结构对应DB32而判定与提取出的上述车辆识别号码对应的车辆结构标识符。例如，在图5所示的例子中，如果车辆识别号码设为“JP000000000000006”，则判定为车辆结构标识符是“A”。
(2-4)分析逻辑的选择
车辆SOC服务器SSV的控制部10接下来在分析逻辑选择处理部13的控制下，在步骤S13中将上述车辆结构标识符作为关键字而检索分析逻辑DB33，选择与上述车辆结构标识符相关联的分析逻辑。而且，将所选择的上述分析逻辑从分析逻辑DB33读出并赋予给分析处理部14。
例如，如果当前车辆结构标识符为“A”，则选择与该车辆结构标识符“A”相关联的所有分析逻辑，将所选择的多个分析逻辑从分析逻辑DB33读出并赋予给分析处理部14。
(2-5)分析对象数据的分析处理
车辆SOC服务器SSV的控制部10接着在分析处理部14的控制下，在步骤S15中从分析对象数据存储部31读入分析对象的上述传感器日志数据。而且，根据上述选择的多个分析逻辑而分析所读入的上述传感器日志数据。此时，分析处理部14例如并行地执行基于上述多个分析逻辑的分析处理。由此，即使在选择了多个分析逻辑的情况下，也能够在短时间内获得基于所有分析逻辑的分析结果。
利用图6所示的分析逻辑，对利用上述分析逻辑的分析处理的一个例子进行说明。例如，当前传感器日志数据所包含的项目设为SENSOR＝1，DST＝”10.0.0.1”。在该情况下，根据分析逻辑IF(AND(SENSOR＝1,DST＝”10.0.0.1”)，”T001”)而将网络攻击的种类确定为”T001”。另外，如果传感器日志数据所包含的项目为SENSOR＝2，SIGNATURE＝1，则根据分析逻辑IF(AND(SENSOR＝2，SIGNATURE＝1)，”T002”)而将网络攻击的种类确定为”T002”。同样地，如果传感器日志数据所包含的项目为SENSOR＝3，SIGNATURE＝2，则根据分析逻辑IF(AND(SENSOR＝3，SIGNATURE＝2)，”T003”)而将网络攻击的种类确定为”T003”。
分析处理部14将表示以上述方式根据多个分析逻辑的任一个确定出的网络攻击的种类的信息与上述车辆识别号码以及车辆结构标识符相关联地保存于分析结果存储部3。
(2-6)分析报告的生成/输出
车辆SOC服务器SSV的控制部10最后在分析报告输出处理部15的控制下，在步骤S16中从分析结果存储部34读入作为分析结果的、表示网络攻击的种类的信息，基于所读入的表示网络攻击的种类的信息而生成分析报告。
上述分析报告可以与根据各传感器日志数据确定的网络攻击的种类相应地生成，也可以着眼于在规定的分析期间内取得的同一车辆识别号码或者车辆结构标识符涉及的多个传感器日志数据，综合根据上述传感器日志数据分别确定出的网络攻击的种类而生成。
分析报告输出处理部15基于上述车辆识别号码或者车辆结构标识符，将所生成的上述分析报告从通信I/F40向相对应的车辆厂商运用的SIRT服务器ISV发送。SIRT服务器ISV基于上述分析报告，例如对车辆SOC服务器SSV指示针对上述网络攻击的暂定的处置、或者对具有相应的车辆结构的所有车辆指示永恒的应对处置。
另外，车辆SOC服务器SSV可以在确定了上述网络攻击的种类的时间点，将表示该网络攻击的种类的信息或者表示其应对方法的信息向传感器日志数据发送源的车辆通知。由此，能够针对受到网络攻击的车辆MV1～MVn的车载装置VU，实时地执行针对网络攻击的暂定处置。
(作用/效果)
如上所述，在一个实施方式中，在车辆SOC服务器SSV中，经由OEM中心CN而取得从管理对象的各车辆MV1～MVn的车载装置VU发送的传感器日志数据，将已取得的传感器日志数据的车辆属性信息中包含的车辆识别号码作为关键字，从车辆结构对应DB32判定车辆结构标识符，将该车辆结构标识符作为关键字而进一步检索分析逻辑DB33，并选择与该车辆结构相关联的分析逻辑。而且，利用所选择的上述分析逻辑对上述传感器日志数据进行分析，由此确定上述车辆中发生的网络攻击的种类，生成与所确定的网络攻击的种类相应的分析报告并提供给SIRT。
因此，每当从车辆MV1～MVn的车载装置VU取得了传感器日志数据时，从多个分析逻辑中选择与其发生源的车辆结构、例如车载装置VU的种类对应而预先准备的分析逻辑，按照所选择的分析逻辑进行上述传感器日志数据的分析处理。即，对与发生源的车辆结构的每个种类对应的分析逻辑分配各传感器日志数据而进行分散处理。
因此，与不根据车载装置VU的种类而例如利用1个综合的分析逻辑对传感器日志数据进行分析处理的情况、按照已决定的顺序选择多个分析逻辑并进行分析处理的情况相比，能够减轻分析处理所需的车辆SOC服务器SSV的处理负荷，并且能够抑制分析处理的总处理能力的下降。
即，在要通过1个车辆SOC服务器SSV而分析针对搭载于多个车型或者年式的车辆的车载装置发生的网络攻击的情况下，能够抑制传感器日志数据的分析处理所需的处理负荷的增加以及分析总处理能力的下降。
[其他实施方式]
(1)在一个实施方式中，在通过分析逻辑选择处理部13选择了多个分析逻辑的情况下，分析处理部14并行地执行基于所选择的上述多个分析逻辑的分析处理。然而，本发明并不限定于此，也可以串行地执行基于上述多个分析逻辑的分析处理。由此，能够将对一个传感器日志数据进行分析处理时的每单位时间的车辆SOC服务器SSV的处理负荷抑制得较低。
并且，在串行地执行基于多个分析逻辑的分析处理时，可以应用如下优先处理。即，针对每种车辆结构，对与其对应的多个分析逻辑各自的以往的攻击检测率进行计算，将计算出的攻击检测率作为决定分析处理的顺序的优先信息而保存。而且，在开始基于上述多个分析逻辑的分析处理时，根据上述优先信息从攻击检测率高的分析逻辑起按顺序选择而执行分析处理，在检测到网络攻击的种类的时间点结束分析处理。
由此，即使串行地执行基于多个分析逻辑的分析处理，也能够缩短攻击种类的确定所需的平均时间，进一步地在确定了网络攻击的种类的时间点结束分析处理，由此与执行所有基于所选择的所有分析逻辑的分析处理的情况相比，能够减轻车辆SOC服务器的处理负荷，并且能够缩短处理的平均的所需时间。
(2)在前述一个实施方式中，以经由网络MNW以及OEM中心CN取得从车载装置VU发生的传感器日志数据的情况为例进行了说明。然而，并不局限于此，例如可以使记录介质存储在车辆修理工厂等从车载装置VU发生的传感器日志数据并对车辆SOC服务器SSV提供，车辆SOC服务器SSV从提供来的上述存储介质读入传感器日志数据而执行分析处理。
除此以外，关于车辆SOC服务器的功能结构、传感器日志数据的结构、针对每种车辆结构准备的分析逻辑的种类和数量、分析逻辑的结构、分析逻辑的选择方法、分析处理的流程和处理内容、特定对象的网络攻击的种类等，可以在未脱离本发明的主旨的范围内进行各种变形而实施。
以上对本发明的实施方式详细进行了说明，但前述说明在所有方面都不过是本发明的示例。当然可以不脱离本发明的范围而进行各种改良、变形。即，在实施本发明时，可以适当地采用与实施方式相应的具体结构。
总之，本发明并不限定于上述各实施方式，在实施阶段可以在不脱离其主旨的范围内，对结构要素进行变形并使其实现具体化。另外，可以通过上述各实施方式中公开的多个结构要素的适当的组合而形成各种发明。例如，可以从各实施方式所示的所有结构要素删除几个结构要素。并且，可以适当地对不同的实施方式中的结构要素进行组合。
标号的说明
MV1～MVn…车辆
VU…车载装置
SSV…车辆SOC服务器
ISV…SIRT服务器
CN…车辆厂商的OEM中心
OSV…管理服务器
MNW…移动通信网络
INW…互联网
GW1、GW2…网关
ESV…外部服务器
1…车载网关
2…车载网络(CAN)
3…导航装置(IVI)
4…电子控制单元(ECU)
5…通信控制单元(TCU)
10…控制部
11…分析对象数据取得处理部
12…车辆结构判定处理部
13…分析逻辑选择处理部
14…分析处理部
15…分析报告输出处理部
20…程序存储部
30…数据存储部
31…分析对象数据存储部
32…车辆结构对应DB
33…分析逻辑DB
34…分析结果存储部
40…通信接口(通信I/F)
50…总线

Claims (7)

1.一种车辆安全分析装置，其取得并分析与搭载于车辆且能够连接至网络的车载装置的动作状态相关的分析对象数据，其中，
所述车辆安全分析装置具有：
存储部，其存储表示所述车辆、和与搭载于该车辆的所述车载装置的种类对应地预先准备的多个分析逻辑之间的对应关系的对应信息；
判定处理部，每当取得所述分析对象数据时，该判定处理部基于已取得的所述分析对象数据所包含的所述车辆的属性信息，对成为该分析对象数据的发生源的所述车载装置的种类进行判定；
选择处理部，其基于所述对应信息，从所述多个分析逻辑中选择与判定出的所述车载装置的种类对应的所述分析逻辑；
分析处理部，其按照所选择的所述分析逻辑，对所述分析对象数据进行分析，并生成表示分析结果的信息；以及
输出处理部，其输出表示所述分析结果的信息。
2.根据权利要求1所述的车辆安全分析装置，其中，
所述存储部对第1对应信息以及第2对应信息进行存储，该第1对应信息表示所述车辆的结构涉及的车辆属性信息与对所述车载装置的种类进行识别的信息之间的对应关系，该第2对应信息表示对所述车载装置的种类进行识别的信息与所述分析逻辑之间的对应关系，
所述判定处理部从已取得的所述分析对象数据所包含的所述属性信息提取车辆识别信息，基于提取出的所述车辆识别信息，根据所述第1对应信息而判定相对应的所述车载装置的种类，
所述选择处理部基于对所选择的所述车载装置的种类进行识别的信息，根据所述第2对应信息而选择相对应的分析逻辑。
3.根据权利要求1所述的车辆安全分析装置，其中，
所述分析处理部在选择了多个与所述车载装置的种类对应的所述分析逻辑的情况下，并行地执行基于所选择的所述多个分析逻辑的分析处理，由此对所述分析对象数据进行分析。
4.根据权利要求1所述的车辆安全分析装置，其中，
所述分析处理部在选择了多个与所述车载装置的种类对应的所述分析逻辑的情况下，利用所选择的所述多个分析逻辑并按照预先设定的优先信息按顺序执行分析处理，由此对所述分析对象数据进行分析。
5.根据权利要求4所述的车辆安全分析装置，其中，
所述分析处理部将基于所述多个分析逻辑各自得到的以往的攻击检测率作为所述优先信息，按照所述攻击检测率从高到低的顺序执行基于所述多个分析逻辑的分析处理，由此对所述分析对象数据进行分析。
6.一种车辆安全分析方法，其是由取得并分析与搭载于车辆且能够连接至网络的车载装置的动作状态相关的分析对象数据的装置执行的车辆安全分析方法，其中，
所述车辆安全分析方法具有如下过程：
将表示所述车辆、和与搭载于该车辆的所述车载装置的种类对应地预先准备的多个分析逻辑之间的对应关系的对应信息设定于存储部；
每当取得所述分析对象数据时，基于已取得的所述分析对象数据所包含的所述车辆的属性信息，对成为该分析对象数据的发生源的所述车载装置的种类进行判定；
基于所述对应信息，从所述多个分析逻辑中选择与判定出的所述车载装置的种类对应的所述分析逻辑；
按照所选择的所述分析逻辑，对所述分析对象数据进行分析，并生成表示分析结果的信息；以及
输出表示所述分析结果的信息。
7.一种程序，其中，
所述程序使权利要求1至5中任一项所述的车辆安全分析装置具有的处理器执行由所述车辆安全分析装置具有的所述各处理部进行的处理。
CN202280057310.XA 2021-09-24 2022-09-21 车辆安全分析装置、方法以及其程序 Pending CN117836769A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2021155793A JP7230147B1 (ja) 2021-09-24 2021-09-24 車両セキュリティ分析装置、方法およびそのプログラム
JP2021-155793 2021-09-24
PCT/JP2022/035184 WO2023048187A1 (ja) 2021-09-24 2022-09-21 車両セキュリティ分析装置、方法およびそのプログラム

Publications (1)

Publication Number Publication Date
CN117836769A true CN117836769A (zh) 2024-04-05

Family

ID=85330630

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202280057310.XA Pending CN117836769A (zh) 2021-09-24 2022-09-21 车辆安全分析装置、方法以及其程序

Country Status (5)

Country Link
US (1) US20240236139A1 (zh)
EP (1) EP4407494A1 (zh)
JP (1) JP7230147B1 (zh)
CN (1) CN117836769A (zh)
WO (1) WO2023048187A1 (zh)

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113014464B (zh) 2016-01-08 2022-07-26 松下电器（美国）知识产权公司 异常检测方法、异常检测装置及异常检测***
JP7007632B2 (ja) 2017-08-03 2022-01-24 住友電気工業株式会社 検知装置、検知方法および検知プログラム
US10887349B2 (en) * 2018-01-05 2021-01-05 Byton Limited System and method for enforcing security with a vehicle gateway
JP7247089B2 (ja) 2018-01-22 2023-03-28 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
JP7180686B2 (ja) * 2018-10-11 2022-11-30 日本電信電話株式会社 情報処理装置、異常分析方法及びプログラム
WO2020080222A1 (ja) 2018-10-17 2020-04-23 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 脅威分析装置、脅威分析方法、および、プログラム
JP7139257B2 (ja) 2019-01-21 2022-09-20 エヌ・ティ・ティ・コミュニケーションズ株式会社 車両セキュリティ監視装置、方法及びプログラム

Also Published As

Publication number Publication date
WO2023048187A1 (ja) 2023-03-30
US20240236139A1 (en) 2024-07-11
JP7230147B1 (ja) 2023-02-28
EP4407494A1 (en) 2024-07-31
JP2023046938A (ja) 2023-04-05

Similar Documents

Publication Publication Date Title
US11363045B2 (en) Vehicle anomaly detection server, vehicle anomaly detection system, and vehicle anomaly detection method
CN106828362B (zh) 汽车信息的安全测试方法及装置
EP3915843A1 (en) Vehicle security monitoring device, method, and program
KR102642875B1 (ko) 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
US10678954B2 (en) Cybersecurity vulnerability prioritization and remediation
CN108965267B (zh) 网络攻击处理方法、装置及车辆
US20220247772A1 (en) Attack monitoring center apparatus and attack monitoring terminal apparatus
US20240236131A1 (en) Vehicle security analysis apparatus, and method and program storage medium
WO2021144859A1 (ja) 侵入経路分析装置および侵入経路分析方法
JP7176569B2 (ja) 情報処理装置、ログ分析方法及びプログラム
US11971982B2 (en) Log analysis device
CN112019512A (zh) 汽车网络安全测试***
JP2019207593A (ja) スキャン処理装置、スキャン処理方法、コンピュータプログラムおよびスキャン処理システム
CN117836769A (zh) 车辆安全分析装置、方法以及其程序
Bakhshiyeva et al. Eavesdropping Attacks on Modern-Day Connected Vehicles and Their Ramifications
Olt Establishing security operation centers for connected cars
Al Zaabi et al. An enhanced conceptual security model for autonomous vehicles
WO2023047689A1 (ja) 脅威分析方法および脅威分析システム
Hadi Sultani et al. Indicators of Compromise of Vehicular Systems
Shin et al. Development of Total Security Platform to Protect Autonomous Car and Intelligent Traffic System Under 5G Environment
WO2018149245A1 (zh) 汽车信息的安全测试方法及装置
Chowdhury et al. Security Analysis of Connected Autonomous Vehicles (CAVs): Challenges, Issues, Defenses, and Open Problems
CN118074967A (zh) 智能网联汽车的安全测试方法、***及存储介质
CN118157976A (zh) 网络安全监测和响应方法、装置、电子设备
WO2018029692A1 (en) System and method for prevention of attacks in connected vehicles

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination