[論文レビュー] CANShield: Deep Learning-Based Intrusion Detection Framework for Controller Area Networks at the Signal-Level

Md Hasan Shahriar, Yang Xiao+3 more|arXiv (Cornell University)|May 3, 2022

Vehicular Ad Hoc Networks (VANETs)被引用数 4

ひとこと要約

CANShieldは、複数の畳み込み自己符号化器（CAE）を用いて異なる時間スケールでCANバスの通信を信号レベルで分析する、深層学習ベースのインシデント検出フレームワークである。3段階の分析とアンサンブル意思決定による再構築誤差の統合により、従来の手法に比べて6.40%高いAUROCを達成し、高精細度のデータセットにおいて高度で隠れやすい攻撃（マスカレード攻撃や抑制攻撃など）の検出を顕著に向上させた。

ABSTRACT

Modern vehicles rely on a fleet of electronic control units (ECUs) connected through controller area network (CAN) buses for critical vehicular control. With the expansion of advanced connectivity features in automobiles and the elevated risks of internal system exposure, the CAN bus is increasingly prone to intrusions and injection attacks. As ordinary injection attacks disrupt the typical timing properties of the CAN data stream, rule-based intrusion detection systems (IDS) can easily detect them. However, advanced attackers can inject false data to the signal/semantic level, while looking innocuous by the pattern/frequency of the CAN messages. The rule-based IDS, as well as the anomaly-based IDS, are built merely on the sequence of CAN messages IDs or just the binary payload data and are less effective in detecting such attacks. Therefore, to detect such intelligent attacks, we propose CANShield, a deep learning-based signal-level intrusion detection framework for the CAN bus. CANShield consists of three modules: a data preprocessing module that handles the high-dimensional CAN data stream at the signal level and parses them into time series suitable for a deep learning model; a data analyzer module consisting of multiple deep autoencoder (AE) networks, each analyzing the time-series data from a different temporal scale and granularity, and finally an attack detection module that uses an ensemble method to make the final decision. Evaluation results on two high-fidelity signal-based CAN attack datasets show the high accuracy and responsiveness of CANShield in detecting advanced intrusion attacks.

研究の動機と目的

• 従来のルールベースおよび異常検知ベースのIDSが検出できない、進化した隠れやすいサイバー攻撃が増加する中、CANバスの脆弱性に対処すること。
• CANメッセージのIDやペイロードのみを分析する既存のIDSの限界を克服し、意味的および時間的信号相関を無視するのを避けること。
• マスカレード、改ざん、停止攻撃などの高度な攻撃を検出できる、スケーラブルで信号レベルのインシデント検出システムを開発すること。
• マルチスケール時間的分析と再構築誤差のアンサンブル統合を活用することで、検出精度と反応速度を向上させること。
• 高次元で複雑なCAN信号ストリームを扱う実際の車両に適した実用的で効率的なソリューションを提供すること。

提案手法

• 信号レベルでの時間系列的信号表現に高次元のメッセージストリームをパースし、意味のあるセンサ値を抽出することで、生のCANデータを前処理する。
• 異なる時間スケールと粒度で複数の畳み込み自己符号化器（CAE）を訓練し、多様な時間窓における正常な信号行動をモデル化する。
• 各CAEの再構築誤差に対して3段階の構造的分析を実施し、正常な信号パターンからわずかに逸脱する微細な異常を検出する。
• マルチスケール再構築を統合するアンサンブル手法を用いて個々の異常スコアを集約し、耐性を高め、推論のばらつきを低減する。
• 統合された再構築誤差に基づいて統一された異常スコアを計算する最終意思決定モジュールを活用し、高度な攻撃のリアルタイム検出を可能にする。
• CAN IDを個別に扱うのではなく、ECU間の信号レベル相関を活用することで、連携されたまたは相関のある攻撃の検出を可能にする。

実験結果

リサーチクエスチョン

• RQ1 信号レベルの深層学習ベースのIDSは、通常のメッセージID頻度やタイミングを維持しながらペイロード値を操作する高度な攻撃を検出できるか？
• RQ2 信号レベルデータに対するマルチスケール時間的分析は、単一スケールモデルと比較して、検出性能をどのように向上させるか？
• RQ3 3段階の再構築誤差分析は、従来の平均値の平均化集約手法に比べて、微細な異常を特定する上でどの程度優れているか？
• RQ4 異なる時間粒度で訓練されたCAEのアンサンブルは、実世界のCANデータセットにおける推論のばらつきを低減し、AUROCを向上させられるか？
• RQ5 最新の最先端ベースラインと比較して、CANShieldは実用的で洗練された攻撃（改ざん、停止、マスカレード攻撃など）に対してどの程度の性能を示すか？

主な発見

• CANShieldは、再構築誤差の3段階的構造的分析により、従来の平均値の平均化再構築誤差集約手法に比べてAUROCが6.40%向上した。
• マルチスケール信号表現の統合により、任意の単一スケールCAEベースのフレームワークと比較して、推論のばらつきが低減し、AUROCが最低2.19%向上した。
• 改ざんおよび停止攻撃の検出において、評価されたすべてのベースラインを上回った。これらの攻撃は、その微細でプロトコル準拠の振るまいから特に検出が困難である。
• SynCANおよびROADという2つの高精細度の信号ベースCAN攻撃データセットにおいて、強力な性能を示し、実世界のシナリオにおける耐性と迅速応答性を確認した。
• ECU間の信号レベル相関をモデル化することで、単一IDまたはペイロードのみを対象とするモデルが検出できない連携攻撃も成功裏に検出できた。
• アンサンブルベースの意思決定メカニズムにより、多数のCAN IDと複雑な信号相互作用を有する車両に対しても、高い検出精度を維持しながらスケーラビリティを確保した。