(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-04-20
(54)【発明の名称】リターン指向プログラミング攻撃保護
(51)【国際特許分類】
H04L 43/08 20220101AFI20220413BHJP
H04L 41/142 20220101ALI20220413BHJP
H04L 43/026 20220101ALI20220413BHJP
【ＦＩ】
H04L43/08
H04L41/142
H04L43/026
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2021552244
(86)(22)【出願日】2020-03-05
(85)【翻訳文提出日】2021-09-03
(86)【国際出願番号】 IL2020050264
(87)【国際公開番号】W WO2020178840
(87)【国際公開日】2020-09-10
(31)【優先権主張番号】62/814,009
(32)【優先日】2019-03-05
(33)【優先権主張国・地域又は機関】US
(81)【指定国・地域】
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
(71)【出願人】
【識別番号】521391760
【氏名又は名称】シー２エー‐セック，リミテッド
(74)【代理人】
【識別番号】100114775
【弁理士】
【氏名又は名称】高岡 亮一
(74)【代理人】
【識別番号】100121511
【弁理士】
【氏名又は名称】小田 直
(74)【代理人】
【識別番号】100202751
【弁理士】
【氏名又は名称】岩堀 明代
(74)【代理人】
【識別番号】100208580
【弁理士】
【氏名又は名称】三好 玲奈
(74)【代理人】
【識別番号】100191086
【弁理士】
【氏名又は名称】高橋 香元
(72)【発明者】
【氏名】ダビドヴィッチ，イツハク
(72)【発明者】
【氏名】フックス，ヨアヴ
(72)【発明者】
【氏名】ブラカ，ニア
(57)【要約】
複数のＥＣＵのためのＲＯＰ攻撃保護方法であって、この方法は、複数のＥＣＵのうちの１つに宛てられたデータを受信することと、受信したデータが複数のＥＣＵのうちのどれに宛てられているかを決定することと、決定されたＥＣＵに関連付けられた固有のモデルに応答して、受信したデータを分析して、１つ以上の所定のアドレスにアドレス指定された制御フロー命令を識別することと、分析に応答して、識別された制御フロー命令の統計分析を生成することと、生成された統計分析に応答して、攻撃の可能性を示す信号を出力することと、からなる。
【選択図】図５
【選択図】図５
【特許請求の範囲】
【請求項1】
複数の電子制御ユニット（ＥＣＵ）のためのリターン指向プログラミング（ＲＯＰ）攻撃保護方法であって、前記方法は、前記複数のＥＣＵのうちの１つに向けられたデータを受信することと、
前記受信したデータが前記複数のＥＣＵのうちのどれに向けられているかを決定することと、
前記決定されたＥＣＵに関連付いた固有のモデルに応答して、前記受信したデータを分析して、１つ以上の所定のアドレスにアドレス指定された制御フロー命令を識別することと、
前記分析に応答して、前記識別された制御フロー命令の統計分析を生成することと、
前記生成された統計分析に応答して、ＲＯＰ攻撃の存在を検出することと、
前記検出されたＲＯＰ攻撃の存在を示す信号を出力することと、を含む、方法。
【請求項2】
前記１つ以上の所定のアドレスの各々が、それぞれのガジェットのコードを含む、請求項１に記載のＲＯＰ攻撃保護方法。
【請求項3】
前記生成された統計分析が、前記受信データ内の所定のウィンドウ内の前記識別された制御フロー命令の数、所定のウィンドウ値を超えている前記所定のウィンドウ内の前記識別された制御フロー命令の数に応答した前記ＲＯＰ攻撃の存在を検出すること、を含む、請求項１に記載のＲＯＰ攻撃保護方法。
【請求項4】
前記ＲＯＰ攻撃の存在を検出することは、前記それぞれの固有のモデルにさらに応答する、請求項１に記載のＲＯＰ攻撃保護方法。
【請求項5】
前記生成された統計分析が、前記識別された制御フロー命令のチェーン内の前記識別された制御フロー命令の数、所定のチェーン値を超えている前記識別された制御フロー命令の前記チェーン内の前記識別された制御フロー命令の数に応答した前記ＲＯＰ攻撃の存在を検出すること、を含む、請求項１に記載のＲＯＰ攻撃保護方法。
【請求項6】
前記出力信号は、ドメイン制御ユニット（ＤＣＵ）を制御して、さらなるデータが前記複数のＥＣＵに転送されるのをブロックする、請求項１に記載のＲＯＰ攻撃保護方法。
【請求項7】
リターン指向プログラミング（ＲＯＰ）攻撃保護システムであって、プロセッサと、
メモリであって、その中に格納された複数の固有のモデルを有し、各固有のモデルは複数の電子制御ユニット（ＥＣＵ）のうちの１つのそれぞれに関連付けられたメモリと、を備え、
前記プロセッサが、
前記複数のＥＣＵのうちの１つに向けられたデータを受信することと、
前記受信したデータが前記複数のＥＣＵのうちのどれに向けられているかを決定することと、
前記決定されたＥＣＵに関連付いたそれぞれの固有のモデルに応答して、前記受信データを分析して、１つ以上の所定のアドレスにアドレス指定された制御フロー命令を識別することと、
前記分析に応答して、前記識別された制御フロー命令の統計分析を生成することと、
前記生成された統計分析に応答して、ＲＯＰ攻撃の存在を検出することと、
前記検出されたＲＯＰ攻撃の存在を示す信号を出力することと、を行うように構成された、システム。
【請求項8】
前記１つ以上の所定のアドレスの各々が、それぞれのガジェットのコードを含む、請求項７に記載のＲＯＰ攻撃保護システム。
【請求項9】
前記生成された統計分析が、前記受信データ内の所定のウィンドウ内の前記識別された制御フロー命令の数、所定のウィンドウ値を超えている前記所定のウィンドウ内の前記識別された制御フロー命令の数に応答した前記ＲＯＰ攻撃の存在を検出すること、を含む、請求項７に記載のＲＯＰ攻撃保護システム。
【請求項10】
前記ＲＯＰ攻撃の存在を検出することは、前記それぞれの固有のモデルにさらに応答する、請求項７に記載のＲＯＰ攻撃保護システム。
【請求項11】
前記生成された統計分析が、前記識別された制御フロー命令のチェーン内の前記識別された制御フロー命令の数、所定のチェーン値を超えている前記識別された制御フロー命令の前記チェーン内の前記識別された制御フロー命令の数に応答した前記ＲＯＰ攻撃の存在を検出すること、を含む、請求項７に記載のＲＯＰ攻撃保護システム。
【請求項12】
前記出力信号は、ドメイン制御ユニット（ＤＣＵ）を制御して、さらなるデータが前記複数のＥＣＵに転送されるのをブロックする、請求項７に記載のＲＯＰ攻撃保護システム。【発明の詳細な説明】
【技術分野】
【0001】
関連出願の相互参照
本出願は、２０１９年３月５日に出願された「ＲＥＴＵＲＮ－ＯＲＩＥＮＴＥＤ ＰＲＯＧＲＡＭＭＩＮＧ ＰＲＯＴＥＣＴＩＯＮ」と題された米国仮特許出願第６２／８１４，００９号の優先権を主張し、その全体が参照によって本明細書に組み込まれる。
本出願は、２０１９年３月５日に出願された「ＲＥＴＵＲＮ－ＯＲＩＥＮＴＥＤ ＰＲＯＧＲＡＭＭＩＮＧ ＰＲＯＴＥＣＴＩＯＮ」と題された米国仮特許出願第６２／８１４，００９号の優先権を主張し、その全体が参照によって本明細書に組み込まれる。
【0002】
本発明は、一般に、セキュリティデバイスの分野に関し、より具体的には、リターン指向プログラミング（ＲＯＰ）攻撃から保護するためのシステムおよび方法に関する。
【背景技術】
【0003】
ＲＯＰは、実行可能スペースの保護やコード署名などのセキュリティ防御が存在する場合であっても、攻撃者が悪意のあるコードを実行できるようにするコンピュータセキュリティエクスプロイト手法である。ＲＯＰを用いて、攻撃者は制御フロー命令スタックの制御を取得し、プログラム制御フローを乗っ取る。攻撃者は次いで、デバイスのメモリにすでに存在する慎重に選択されたマシン命令シーケンスを実行できる。これらのシーケンスは「ガジェット」と呼ばれる。各ガジェットは典型的に、リターン命令で終了し、既存のプログラム内のサブルーチン、および／または共有ライブラリコードに配置される。これらのガジェットを合わせてチェーン化させることで、攻撃者は、より単純な攻撃を阻止できる防御を採用しているデバイス内でも、任意の操作を実施できる。
【0004】
ＲＯＰ攻撃から保護する方法の一例に、アドレス空間配置のランダム化（ＡＳＬＲ）がある。ＡＳＬＲでは、プログラムが実行されるたびに、構成要素が仮想メモリ内の異なるアドレスにランダムに移動される。ＲＯＰ攻撃から保護するための多くの方法では、バイナリ内のさまざまなオペコードを変更して、バイナリを調整する必要がある。あいにく、安全性や保証上の理由から、バイナリを変更できない場合がある。
【発明の概要】
【0005】
したがって、本発明の主な目的は、先行技術の不利な点の少なくともいくつかを克服することである。特定の実施形態では、これは、複数の電子制御ユニット（ＥＣＵ）のためのリターン指向プログラミング（ＲＯＰ）攻撃保護方法によって提供され、この方法は、複数のＥＣＵのうちの１つに宛てられたデータを受信することと、受信したデータが複数のＥＣＵのうちのどれに宛てられているかを決定することと、決定されたＥＣＵに関連付けられた固有のモデルに応答して、受信したデータを分析して、１つ以上の所定のアドレスにアドレス指定された制御フロー命令を識別することと、分析に応答して、識別された制御フロー命令の統計分析を生成することと、生成された統計分析に応答して、ＲＯＰ攻撃の存在を検出することと、ＲＯＰ攻撃の存在が検出されたことを示す信号を出力することと、を含む。
【0006】
一実施形態では、１つ以上の所定のアドレスの各々が、それぞれのガジェットのコードを含む。別の実施形態では、生成された統計分析は、受信データ内の所定のウィンドウ内の識別された制御フロー命令の数、所定のウィンドウ値を超えている所定のウィンドウ内の識別された制御フロー命令の数に応答したＲＯＰ攻撃の存在の検出、を含む。
【0007】
一実施形態では、ＲＯＰ攻撃の存在を検出することは、それぞれの固有のモデルにさらに対応する。別の実施形態では、生成された統計分析は、識別された制御フロー命令のチェーン内の識別された制御フロー命令の数、所定のチェーン値を超えている識別された制御フロー命令のチェーン内の識別された制御フロー命令の数に応答したＲＯＰ攻撃の存在の検出、を含む。
【0008】
一実施形態では、出力信号は、ドメイン制御ユニット（ＤＣＵ）を制御して、さらなるデータが複数のＥＣＵに転送されるのをブロックする。
【0009】
１つの独立した実施形態では、リターン指向プログラミング（ＲＯＰ）攻撃保護システムが提供され、このシステムは、プロセッサと、メモリであって、その中に格納された複数の固有のモデルを有し、各固有のモデルは複数の電子制御ユニット（ＥＣＵ）のうちの１つのそれぞれに関連付けられたメモリと、を備え、該プロセッサが、複数のＥＣＵのうちの１つに宛てられてデータを受信することと、受信したデータが複数のＥＣＵのうちのどれに宛てられているかを決定することと、決定されたＥＣＵに関連付けられたそれぞれの固有のモデルに応答して、受信したデータを分析して、１つ以上の所定のアドレスにアドレス指定された制御フロー命令を識別することと、分析に応答して、識別された制御フロー命令の統計分析を生成することと、生成された統計分析に応答して、ＲＯＰ攻撃の存在を検出することと、ＲＯＰ攻撃の存在が検出されたことを示す信号を出力することと、を行うように構成されている。
【0010】
一実施形態では、１つ以上の所定のアドレスの各々が、それぞれのガジェットのコードを含む。別の実施形態では、生成された統計分析は、受信データ内の所定のウィンドウ内の識別された制御フロー命令の数、所定のウィンドウ値を超えている所定のウィンドウ内の識別された制御フロー命令の数に応答したＲＯＰ攻撃の存在の検出、を含む。
【0011】
一実施形態では、ＲＯＰ攻撃の存在を検出することは、それぞれの固有のモデルにさらに対応する。別の実施形態では、生成された統計分析は、識別された制御フロー命令のチェーン内の識別された制御フロー命令の数、所定のチェーン値を超えている識別された制御フロー命令のチェーン内の識別された制御フロー命令の数に応答したＲＯＰ攻撃の存在の検出、を含む。
【0012】
一実施形態では、出力信号は、ドメイン制御ユニット（ＤＣＵ）を制御して、さらなるデータが複数のＥＣＵに転送されるのをブロックする。
【0013】
本発明の追加の特徴および利点は、以下の図面および説明から明らかになるであろう。
【図面の簡単な説明】
【0014】
本発明の様々な実施形態をよりよく理解し、それがどのように実施され得るかを示すために、ここで、純粋に例として、同様の符号が全体を通して対応する要素またはセクションを示す、添付の図面を参照する。
【0015】
ここで詳細に図面を具体的に参照すると、示される詳細は、例として本発明の好ましい実施形態の例示的な議論のみを目的としており、本発明の原理および概念的側面の最も有用で容易に理解される説明であると考えられるものを提供するという理由で提示されている。これに関して、本発明の基本的な理解に必要である以上に本発明の構造の詳細を示す試みはなされておらず、図面とともに行われた説明は、本発明のいくつかの形態が実際にどのように具体化され得るかを当業者に明らかにしている。添付の図面は以下のとおりである。
【0016】
【図1A-1D】特定の実施形態による、ＲＯＰ攻撃保護装置の様々な高レベルの概略図を示す。
【図1E】特定の実施形態による、検査プログラムの操作方法の高レベルのフローチャートを示す。
【図2】ＡＵＴＯＳＡＲプロジェクトにＥＣＵモデルを追加する方法の、第１の実施形態の高レベルのフローチャートを示す。
【図3】ＡＵＴＯＳＡＲプロジェクトにＥＣＵモデルを追加する方法の、第２の実施形態の高レベルのフローチャートを示す。
【図4】ＬＩＮＵＸプロジェクトにＥＣＵモデルを追加する方法の高レベルの概要図を示す。
【図5】特定の実施形態による、ＲＯＰ攻撃保護方法の高レベルのフローチャートを示す。
【発明を実施するための形態】
【0017】
本発明の少なくとも１つの実施形態を詳細に説明する前に、本発明は、その適用において、以下の説明に記載されるかまたは図面に例示される構成ならびに構成要素の配置に必ずしも限定されないことを理解されたい。本発明は、様々な方法で実践または実行されている他の実施形態に適用可能である。また、本明細書で使用される表現または用語は、説明を目的としたものであり、限定として解釈されるべきではないことを理解されたい。
【0018】
図１Ａは、ＲＯＰ攻撃保護システム２０を含む自動車通信ネットワーク１０の高レベルの概略図を示し、図１Ｂは、ＲＯＰ攻撃保護システム２０の高レベルの概略図を示し、図１Ｃは、ＲＯＰ攻撃保護システム２０のプロセッサ３０の実施形態の高レベルの概略図を示す。自動車通信ネットワーク１０は、ＲＯＰ攻撃保護システム２０、ドメインコントローラーユニット（ＤＣＵ）４０、および複数のコントローラエリアネットワーク（ＣＡＮ）バスネットワーク５０を備える。各ＣＡＮバスネットワーク５０は、ＣＡＮバス６０、およびＣＡＮバス６０に結合された複数のＥＣＵ７０を備える。一実施形態では、ＲＯＰ攻撃保護システム２０は、ＤＣＵ４０の一部として実装される。ＲＯＰ攻撃保護システム２０は、プロセッサ３０およびメモリ８０を備える。プロセッサ３０は、検査プログラム３５を備える。検査プログラム３５は、データ受信機能９０、ＥＣＵ決定機能１００、制御フロー命令識別機能１１０、分析機能１２０、攻撃検出機能１３０、および出力機能１４０を含む。メモリ８０は、その中に複数のＥＣＵモデル１５０を格納している。１つの非限定的な実施形態では、プロセッサ３０は、メモリ８０に格納されたコンピュータ可読命令に応答して動作するように構成されている。一実施形態では、ＤＣＵ４０およびＥＣＵ７０は、自動車用オープンシステムアーキテクチャ（ＡＵＴＯＳＡＲ）に従って動作する。別の実施形態では、ＤＣＵ４０およびＥＣＵ７０は、Ｌｉｎｕｘシステムで動作する。各ＣＡＮバスネットワーク５０は、ＤＣＵ４０のそれぞれの出力と通信しており、ＤＣＵ４０の入力は、イーサネットネットワークと通信している。一実施形態では、メモリ８０は、システムメモリの一部を含む。
【0019】
本明細書で使用される「制御フロー命令」という用語は、特定のメモリアドレスにアクセスするためのプログラムのフローを制御する命令であることを意味する。１つの非限定的な実施形態では、制御フロー命令は、コール命令、ブランチ命令、またはジャンプ命令のうちのいずれかを含む。
【0020】
図１Ｄは、ＥＣＵ７０のうちの特定の１つに係るＥＣＵモデル１５０の例を示す。特に、事前定義されたデータサイズの各アドレスインジケータについて、アドレスインジケータに関連付けられたデータは、ターゲットアドレス空間内のガジェットの存在または不在を示すフラグでマークされる。好ましくは、事前定義されたデータサイズは４バイト、すなわちダブルワード（ＤＷＯＲＤ）である。具体的には、例示的な一実施形態では、アドレスインジケータによって反映されるターゲットアドレス空間がガジェットを含む場合は、アドレスインジケータに関連付けられて「１」が格納され、アドレスインジケータによって反映されるターゲットアドレス空間がガジェットを含まれない場合は、アドレスインジケータに関連付けられて「０」が格納される。本明細書で使用される場合、ガジェットという用語は、当業者には知られているように、リターン命令で終わり、所定の数以下の命令を含む一連の命令を指すことを意味する。１つの非限定的な実施形態では、命令の所定の数は５である。別の実施形態では、ＥＣＵモデル１５０は、単一のアレイに一緒に組み合わされる。ＥＣＵモデル１５０は、本発明の時点で当業者に知られているように、それぞれのバイナリをスキャンし、バイナリ内の各ガジェットと、ガジェットのコードを含むシステムメモリ内のそれぞれのアドレスを識別することによって、事前に生成される。
【0021】
一実施形態では、各ＥＣＵモデル１５０は、それぞれのＥＣＵ７０のガジェットの許容可能なチェーンに関する情報を含む。特に、ガジェットのチェーンは、チェーン内の各ガジェットがこのチェーン内の別のガジェットのアドレスへの制御フロー命令を開始した、複数のガジェットである。あるいは、チェーン内のガジェットは、チェーン内の別のガジェットのアドレスから所定の距離以内のアドレスへの制御フロー命令を開始することができる。許容可能なガジェットのチェーンは、それぞれのＥＣＵ７０のバイナリから決定される。
【0022】
ＡＵＴＯＳＡＲ構成では、ＥＣＵ７０はＡＳＬＲなしで動作するため、ＥＣＵ７０が更新される場合を除いて、ガジェットのアドレスは変更されない。ＥＣＵ７０がＡＳＬＲで動作するシステムの場合、各ＥＣＵモデル１５０のアドレスは、ＡＳＬＲの新しいアドレスに従って更新される。
【0023】
一実施形態では、データ受信機能９０、ＥＣＵ決定機能１００、制御フロー命令識別機能１１０、分析機能１２０、攻撃検出機能１３０、および出力機能１４０の各々は、検査プログラム３５内のコードのそれぞれのセクションを含む。
【0024】
動作中、イーサネットパケットはＤＣＵ４０によって受信され、データ受信機能９０は、ＲＯＰ攻撃保護システム２０のプロセッサ３０でパケットのデータを受信する。ＤＣＵ４０がＡＵＴＯＳＡＲに従って動作する一実施形態では、検査プログラム３５は、ＤＣＵ４０のドライバがパケットの受信を終了したときに呼び出されるように構成されるコールバック関数として実装される。特に、一実施形態では、コールバックは、設定されているドライバの受信機フラグに実装される。別の実施形態では、以下に説明するように、ＤＣＵ４０がＬｉｎｕｘシステムで動作し、検査プログラム３５が共有オブジェクトである場合、ＬＤ－ＰＲＥＬＯＡＤコマンドを利用して、共有された検査プログラム３５を呼び出す。動作が完了した後、検査プログラム３５は元のコードを呼び出して通常の動作を継続する。
【0025】
ＥＣＵ決定機能１００は、パケットの受信データを分析して、受信されたパケットがＥＣＵ７０のうちの１つに宛てられているかどうかを決定する。さらに、ＥＣＵ決定機能は、どのＥＣＵ７０がパケットの宛先であるかを決定する。一実施形態では、ＥＣＵ決定機能１００は、所定のルーティングモデルに応答するパケットの宛先を決定する。所定のルーティングモデルは、ＤＣＵ４０の構成ファイルに応答して生成される。特に、ＤＣＵ４０の構成ファイルは、受信信号のルーティングポリシー、すなわち、各信号がどこにルーティングされるかを定義する。したがって、ルーティングモデルは各ＥＣＵ７０の固有の識別子を含み、ＥＣＵ決定機能１００は、どの固有の識別子がパケットに含まれるか、すなわち、どのＥＣＵ７０がパケットの宛先であるかを識別する。一実施形態では、データパケットの宛先は、パケットのＣＡＮ ＩＤに応答して決定される。別の実施形態では、データパケットの宛先は、パケットのイーサネットＩＰに応答して決定される。一実施形態では、特定のＥＣＵ７０宛てのパケットのみが分析される。
【0026】
制御フロー命令識別機能１１０は、パケットの宛先であるＥＣＵ７０のＥＣＵモデル１５０に応答して、パケットのペイロード内のデータを分析して、ガジェットを含むメモリアドレスへの制御フロー命令を識別する。特に、上述したように、一実施形態では、各ＥＣＵモデル１５０は、ＤＷＯＲＤがガジェットを含むかどうかを示すフラグを各ＤＷＯＲＤに設定する。一実施形態では、制御フロー命令識別機能１１０は、ペイロード内の各制御フロー命令の宛先をそれぞれのＥＣＵモデル１５０のアドレスと比較して、それぞれのアドレス空間のフラグが１または０に設定されているかどうかを判定する。別の実施形態では、制御フロー命令識別機能１１０は、ガジェットを含む空間をアドレス指定するために、制御フロー命令に対するペイロードを検索する。異なるメモリを使用しているため、異なるＥＣＵ７０が同じアドレス番号を使用し得ることに留意されたい。したがって、アドレスを含むガジェットは、アドレス番号と宛先ＥＣＵ７０の識別の両方によって識別される。
【0027】
分析機能１２０は、識別機能１１０によって識別されたガジェットへの制御フロー命令の統計分析を生成する。特に、一実施形態では、分析機能１２０は、パケット内の所定のウィンドウ内のガジェットにアドレス指定された制御フロー命令の数を追跡する。特に、所定のサイズのウィンドウが定義され、そのウィンドウを使用してパケットがスキャンされ、パケットデータ全体にわたってそのようなウィンドウ内のガジェットにアドレス指定される制御フロー命令の量が決定される。さらなる一実施形態では、ウィンドウは移動ウィンドウであり、すなわち、ウィンドウはデータの先頭から始まり、所定のステップサイズだけ増加的に進む。任意選択的に、所定のステップサイズは１バイトである。１つの非限定的な実施形態では、ウィンドウサイズは２０バイトである。
【0028】
別の実施形態では、ウィンドウは、ガジェットにアドレス指定された制御フロー命令を検出するときに初期化される。特に、ガジェット宛ての制御フロー命令を検出すると、ガジェット宛てのこの検出された制御フロー命令から始まるようにウィンドウが設定され、ウィンドウ内のガジェットにアドレス指定された追加の制御フロー命令の数がカウントされる。ウィンドウの完了後、ガジェットにアドレス指定された次の制御フロー命令が検出されると、次のウィンドウが設定される。
【0029】
一実施形態では、生成された統計分析は、ガジェットにアドレス指定された制御フロー命令のチェーン内のガジェットにアドレス指定された制御フロー命令の数を含む。上述したように、ガジェットのチェーンは、チェーン内の各ガジェットが、チェーン内の別のガジェットのアドレスまたはチェーン内の別のガジェットのアドレスから所定の距離以内のアドレスへの制御フロー命令アドレスを開始するガジェットの数である。さらなる一実施形態では、生成された統計分析は、ガジェットにアドレス指定された一連の制御フロー命令内のガジェットにアドレス指定された制御フロー命令の数、および事前定義されたウィンドウ内のガジェットにアドレス指定された制御フロー命令の数の両方を含む。
【0030】
攻撃検出機能１３０は、分析機能１２０によって生成された統計分析に応答するＲＯＰ攻撃の存在を検出する。特に、統計分析が所定のウィンドウ内で呼び出されたガジェットの数を含む実施形態では、攻撃検出機能１３０は、呼び出されたガジェットの数を所定のウィンドウ値と比較する。呼び出されたガジェットの数が所定のウィンドウ値を超えた場合、ＲＯＰ攻撃が識別される。
【0031】
統計分析が、ガジェットにアドレス指定された制御フロー命令のチェーン内のガジェットにアドレス指定された制御フロー命令の数を含む実施形態では、攻撃検出機能１３０は、チェーン内の制御フロー命令の数を所定のチェーン値と比較する。チェーン内で呼び出されたガジェットの数が所定のチェーン値を超えた場合、ＲＯＰ攻撃が識別される。一実施形態では、所定のチェーン値は、それぞれのＥＣＵモデル１５０に応答して決定され、すなわち、各ＥＣＵ７０に対してそれぞれの所定のチェーン値が存在する。別の実施形態では、ガジェットにアドレス指定された制御フロー命令のチェーンは、それぞれのＥＣＵモデル１５０に格納されたガジェットの許容チェーンに関する情報と比較され、所定のチェーン値との比較は、許容チェーンとして格納されていない検出されたチェーンに対してのみ実行される。したがって、このような実施形態では、ＲＯＰ攻撃の存在の検出は、それぞれの固有のＥＣＵモデル１５０に応答する。
【0032】
一実施形態では、攻撃検出機能１３０は、所定のウィンドウ内のガジェットにアドレス指定された制御フロー命令の数およびガジェットの１つ以上のチェーン内の制御フロー命令の数の両方の所定の機能に応答する、ＲＯＰ攻撃の存在を検出する。さらなる一実施形態では、異なる所定の機能が、各固有のＥＣＵモデル１５０に提供される。任意選択的に、各所定の機能は、それぞれのＥＣＵ７０内のガジェットの許容チェーンに関する情報に応答して決定される。任意選択的に、各所定の機能は、第１のタイプのＥＣＵ７０が、誤検出の数を減らす第１の所定の機能に関連付けられ、第２のタイプのＥＣＵ７０が、より多くの誤検出を許容しながら検出されないＲＯＰ攻撃の数を減らす第２の所定の機能に関連付けられるように、それぞれのＥＣＵ７０のタイプに応答して決定される。したがって、このような実施形態では、ＲＯＰ攻撃の存在の検出は、それぞれの固有のＥＣＵモデル１５０に応答する。同様に、一実施形態では、各それぞれの所定のウィンドウ値および各それぞれの所定のチェーン値は、それぞれのＥＣＵ７０のタイプに応答する。
【0033】
識別されたＲＯＰ攻撃に応答して、出力機能１４０は、ＲＯＰ攻撃の存在を示す信号を出力する。一実施形態では、出力信号に応答して、ＤＣＵ４０は、ＣＡＮバスネットワーク５０へのデータのさらなる送信を防止する。さらなる一実施形態では、各パケットは、パケットの分析後にのみ、かつＲＯＰ攻撃の存在を示す信号がない場合にのみ、適切なＣＡＮバスネットワークに送信される。別の実施形態では、パケットの上記の分析は、ＤＣＵ４０によって宛先ＥＣＵ７０に転送されるパケットと並行して実施される。さらなる一実施形態では、出力信号はコントローラに送信される。
【0034】
検査プログラム３５の動作方法の高レベルのフローチャートが図１Ｅに示されている。ステージ１０００では、受信したパケットのデータ内のウィンドウが初期化される。ステージ１０１０では、ウィンドウ内の制御フロー命令が分析されて、それがガジェットを含むアドレスをアドレス指定するかどうかが決定される。ガジェットにアドレス指定された制御フロー命令が識別された場合、ステージ１０２０において、これが現在のウィンドウで識別される最初のガジェットであるかどうかを判定するためにフラグが確認される。これが識別された最初のガジェットであると判定された場合、ステージ１０３０でカウンターが開始され、ステージ１０４０でカウンターが進められる。これが現在のウィンドウで識別された最初のガジェットではないと判定された場合、ステージ１０４０が実施され、カウンターが進められる。
【0035】
ステージ１０５０において、ステージ１０００のウィンドウは、それが経過したかどうか、すなわち、ウィンドウの終わりに到達したかどうかを判定するために分析される。所定のウィンドウが経過した場合、ステージ１０６０において、ステージ１０３０のカウンターの値が所定のウィンドウ値と比較される。カウンターの値が所定のウィンドウ値よりも大きい場合、ステージ１０７０において、ＲＯＰ攻撃の存在を示す信号が出力される。ステージ１０６０において、カウンターの値が所定のウィンドウ値以下であると決定された場合、ウィンドウを所定のステップサイズ（任意選択的に１バイト超え）単位で移動させながら、上記のステージ１０００が再び実施される。任意選択的に、攻撃が検出され、ステージ１０７０の信号が出力された場合、ステージ１０００も再び実施される。
【0036】
ステージ１０５０において、ステージ１０００のウィンドウが経過していないと判定された場合、ステージ１０１０が再び実施される。ステージ１０００～１０７０は、データパケットの最後に到達するまで繰り返される。一実施形態では、ステージ１０００～１０７０は、データパケットの終わりに到達するまで、またはＲＯＰ攻撃が検出されるまで繰り返される。
【0037】
有利なことに、ＲＯＰ攻撃保護システム２０は、任意選択的にＤＣＵ４０内に配置され、ＥＣＵ７０ごとに別個の保護システムを必要とせずに、リモートＥＣＵ７０を標的とするデータパケットを検証することができる。上述したように、この検証は、一実施形態においてガジェットの利用に基づいてＲＯＰ攻撃を検出するために実施されるが、前述ならびに後述のシステムおよび方法は、ガジェットの識別のみに限定されない。
【0038】
図２は、ＡＵＴＯＳＡＲプロジェクトにＥＣＵモデル１５０を追加する方法の、第１の実施形態の高レベルのフローチャートを示す。ステージ２０００では、ＲＯＰ攻撃保護システム２０の検査プログラム３５が、リンカスクリプトを使用して、ＡＵＴＯＳＡＲプロジェクトの終わりにリンクされる。ステージ２０１０では、ＥＣＵのバイナリがスキャンされてガジェットが識別される。ステージ２０２０では、ステージ２０１０のガジェット識別に応答して、構造のアレイが生成され、アレイの各構造は、それぞれのＥＣＵ７０のＥＣＵモデル１５０を含む。ステージ２０３０において、ガジェット構造アレイが検査プログラム３５のソースコードに追加される。ガジェット構造アレイが検査プログラム３５のソースコードにすでに存在する場合、構造アレイはステージ２０１０の新しい構造アレイで更新される。ステージ２０４０において、更新されたガジェット構造アレイを含む検査プログラム３５のソースコードがコンパイルされ、リンクされる。検査プログラム３５はＡＵＴＯＳＡＲプロジェクトの終わりにリンクされているため、更新されたガジェット構造アレイはプロジェクトの一部となる。
【0039】
図３は、ＡＵＴＯＳＡＲプロジェクトにＥＣＵモデル１５０を追加する方法の、第２の実施形態の高レベルのフローチャートを示す。ステージ２１００では、ＲＯＰ攻撃保護システム２０の検査プログラム３５が、リンカスクリプトを使用して、ＡＵＴＯＳＡＲプロジェクトにリンクされる。ステージ２１１０では、ＥＣＵのバイナリがスキャンされてガジェットが識別される。ステージ２１２０では、ステージ２１１０のガジェット識別に応答して、構造のアレイが生成され、アレイの各構造は、それぞれのＥＣＵ７０のＥＣＵモデル１５０を含む。ステージ２１３０において、ステージ２１２０の構造アレイは、検査プログラム３５のデータセクションに追加される。ガジェット構造アレイが検査プログラム３５のデータセクションにすでに含まれている場合、ガジェット構造アレイは新しい構造アレイで更新される。
【0040】
図４は、ＬＩＮＵＸプロジェクトにＥＣＵモデル１５０を追加する方法の高レベルの概要図を示す。ステージ３０００では、ＥＣＵのバイナリがスキャンされてガジェットが識別される。ステージ３０１０では、ステージ３０００のガジェット識別に応答して、構造のアレイが生成され、アレイの各構造は、それぞれのＥＣＵ７０のＥＣＵモデル１５０を含む。ステージ３０２０において、ガジェット構造アレイは、ＲＯＰ攻撃保護システム２０のソースコードに追加される。ガジェット構造アレイがＲＯＰ攻撃保護システム２０のソースコードにすでに存在する場合、構造アレイはステージ３０１０の新しい構造アレイで更新される。ステージ３０３０では、更新されたガジェット構造アレイを含むＲＯＰ攻撃保護システム２０のソースコードがコンパイルされて、共有オブジェクトが作成される。ステージ３０４０では、ステージ３０３０の共有オブジェクトがＬＩＮＵＸプロジェクトにロードされる。１つの代替的な実施形態では、ＲＯＰ攻撃保護システム２０は、ＬＩＮＵＸプロジェクトにロードされることなく、別々に実行される。特に、ＬＩＮＵＸシステムは、ネットワークデータトラフィックの表示を可能にするライブラリを提供する。
【0041】
図５は、特定の実施形態による、ＲＯＰ攻撃保護方法の高レベルのフローチャートを示す。ステージ４０００において、複数のＥＣＵのうちの１つに向けられたデータが受信される。ステージ４０１０において、ステージ４０００のデータの宛先、すなわち、データが複数のＥＣＵのうちのどれに向けられているかを決定する。ステージ４０２０では、ステージ４０１０の宛先ＥＣＵに関連付けられた固有のモデルに応答して、受信されたデータが分析されて、システムメモリの所定のアドレスへの１つ以上の制御フロー命令を識別する。一実施形態では、上述したように、システムメモリ内の所定のアドレスのそれぞれはガジェットを含むが、これは、決して限定することを意味するものではない。別の実施形態では、システムメモリ内の所定のアドレスのそれぞれは、ガジェット以外の所定のタイプのコードを含む。
【0042】
ステージ４０３０では、ステージ４０２０の識別された制御フロー命令に応答して、識別された制御フロー命令の統計分析が生成される。一実施形態では、統計分析は、受信されたデータ内の所定のウィンドウ上の所定のアドレスへの識別された制御フロー命令の数を含む。別の実施形態では、統計分析は、識別された制御フロー命令のチェーン内の識別された制御フロー命令の数を含む。ステージ４０４０では、ステージ４０３０の統計分析に応答して、ＲＯＰ攻撃の存在が検出される。一実施形態では、ＲＯＰ攻撃は、所定のウィンドウ値よりも大きい所定のウィンドウ内の所定のアドレスへの識別された制御フロー命令の数に応答して検出される。別の実施形態では、ＲＯＰ攻撃は、識別された制御フロー命令のチェーン内の識別された制御フロー命令の数が所定のチェーン値よりも大きいことに応答して検出される。一実施形態では、ＲＯＰ攻撃の検出は、それぞれのＥＣＵの固有のモデルにさらに応答する。１つのさらなる実施形態では、上述したように、所定のチェーン値、所定のウィンドウ値、ならびに／またはウィンドウ内の識別された制御フロー命令の数およびチェーン内の識別された制御フロー命令の数の両方の所定の機能は、それぞれのＥＣＵの固有モデルの情報に応答する。
【0043】
ステージ４０５０では、ステージ４０４０の検出された攻撃に応答して、ＲＯＰ攻撃の存在を示す信号が出力される。任意選択のステージ４０６０では、ステージ４０５０の出力信号に応答して、データがステージ４０００の複数のＥＣＵに転送されるのをブロックするためにＤＣＵを制御する。
【0044】
明確にするために別個の実施形態に関連して説明される本発明のある特定の特徴は、単一の実施形態に組み合わせて提供することもできることが理解される。逆に、簡略化のために単一の実施形態の文脈で説明される本発明の様々な特性もまた、別個にまたは任意の好適な下位の組み合わせで提供され得る。
【0045】
別段に定義されない限り、本明細書で使用されるすべての専門用語および／または科学用語は、本発明が帰属する技術分野の当業者によって一般に理解されるのと同意を有する。本明細書に説明されているものと同様または同等の方法を本発明の実施または試験に使用することができるが、本明細書には好適な方法が記載されている。
【0046】
本明細書で言及されるすべての刊行物、特許出願、特許、および他の参考文献は、それらの全体が参照によって組み込まれる。矛盾する場合は、定義を含む本特許明細書が優先される。さらに、材料、方法、および例は、単なる例示であり、必ずしも限定することを意図していない。
【0047】
当業者には、本発明が、上で特に示され説明されたものによって限定されないことが理解されよう。むしろ、本発明の範囲は、添付の特許請求の範囲によって定義され、上記の様々な特徴の組み合わせおよび下位の組み合わせの両方、ならびに前述の説明を読んだときに当業者に生じるであろうそれらの変形および修正を含む。
【図1A】
【図1B】
【図1C】
【図1D】
【図1E】
【図2】
【図3】
【図4】
【図5】
【国際調査報告】