[論文レビュー] CASAD: CAN-Aware Stealthy-Attack Detection for In-Vehicle Networks

Nasser Nowdehi, Wissam Aoudi+2 more|arXiv (Cornell University)|Sep 18, 2019

Vehicular Ad Hoc Networks (VANETs)Engineering参考文献 31被引用数 20

ひとこと要約

本論文は、歴史的データから通常のIVNトラフィック行動を学習することで、車両固有の設定に依存せずに、静かで検知が難しい攻撃を検出できるCAN対応で、システムに依存しないインラインススペクション検出システムCASADを提案する。CASADは、複数の実際の車両および2018年式ボルボXC60のテストベッドを用いて、以前検出が不可能だった静かで検知が難しい攻撃、特に新規の「クェスト」攻撃を、ゼロの誤検出を伴いながらも迅速に検出する。

ABSTRACT

Nowadays, vehicles have complex in-vehicle networks (IVNs) with millions of lines of code controlling almost every function in the vehicle including safety-critical functions. It has recently been shown that IVNs are becoming increasingly vulnerable to cyber-attacks capable of taking control of vehicles, thereby threatening the safety of the passengers. Several countermeasures have been proposed in the literature in response to the arising threats, however, hurdle requirements imposed by the industry is hindering their adoption in practice. In particular, detecting attacks on IVNs is challenged by strict resource constraints and utterly complex communication patterns that vary even for vehicles of the same model. In addition, existing solutions suffer from two main drawbacks. First, they depend on the underlying vehicle configuration, and second, they are incapable of detecting certain attacks of a stealthy nature. In this paper, we propose CASAD, a CAN-Aware Stealthy-Attack Detection mechanism that does not abide by the strict specifications predefined for every vehicle model and addresses key real-world deployability challenges. Our fast, lightweight, and system-agnostic approach learns the normal behavior of IVN dynamics from historical data and detects deviations by continuously monitoring IVN traffic. We demonstrate the effectiveness of CASAD by conducting various experiments on a CAN bus prototype, a 2018 Volvo XC60, and publicly available data from two real vehicles. Our approach is experimentally shown to be effective against different attack scenarios, including the prompt detection of stealthy attacks, and has considerable potential applicability to real vehicles.

研究の動機と目的

• 厳密なリソース制約およびリアルタイム制約下で、リアルタイム性、軽量性、展開可能性に優れた車載ネットワーク（IVN）におけるインラインススペクション検出の重要なニーズに対応する。
• 通常の動作を模倣し、トラフィックパターンに乱れを起こさない攻撃—特に静かで検知が難しい攻撃—を検出できない既存のソリューションの限界を克服する。
• 個々の車両モデルの事前定義された仕様や設定に依存しない、システムに依存しない検出メカニズムを開発する。
• 「クェスト」攻撃のような、通常の動作ダイナミクスを維持することで従来の異常検出法を回避する、新規の静かで検知が難しい攻撃変種を迅速に検出可能にする。

提案手法

• CASADは、メッセージの到着間隔の統計的分析に基づくラグに基づく統計的手法を用いて、履歴CANトラフィックから通常のIVN動作を学習することで、正常な動作をモデル化する。
• 各メッセージについて、期待される到着間隔からの逸脱に基づいて「出発スコア」を計算する。この計算には、サイズ$ L $のスライディングウインドウと統計的次元$ r $が用いられる。
• 検出遅延を最小限に抑えつつ誤検出を抑制するため、正常トラフィックのサブシリーズを用いた検証により最適化されたしきい値$ \theta $を用いたしきい値ベースのアラームメカニズムを採用する。
• 検出遅延を定量化するための遅延要因$ \theta_{L,\theta} $を用い、複数のしきい値試行の検出遅延のAUC（受信者操作特性曲線下の面積）を最小化することで、最適な$ L^* $および$ \theta^* $を特定する。
• ECU固有のシグネチャや車両モデルの設定に依存しないアプローチを採用することで、広範な適用可能性を実現する。
• フレームワークは、CANバスプロトタイプ、2018年式ボルボXC60に加え、2012年式トヨタ・カローラおよび2012年式ホンダ・シビックの公開済みデータを用いて検証された。

実験結果

リサーチクエスチョン

• RQ1 システムに依存しない、軽量な異常検出メカニズムは、メッセージの周期性やタイミングパターンを変更しないIVNにおける静かで検知が難しい攻撃を検出可能だろうか？
• RQ2 自動車環境における厳しいリソース制約およびリアルタイム制約下で、効果的に動作するインラインススペクション検出システムは、どのように設計可能だろうか？
• RQ3 実世界のCANトラフィックにおける静かで検知が難しい攻撃を検出する際、検出遅延と誤検出率の最適なトレードオフは何か？
• RQ4 1台の車両で学習した単一の検出モデルが、再設定なしに他の車両モデルにも効果的に適用可能か、その範囲はどの程度か？
• RQ5 「クェスト」攻撃のような、真に静かで検知が難しい新規攻撃—トラフィックパターン分析に依存するシステムでは検出可能だろうか？

主な発見

• CASADは、既存のシステムが検出できない真正の静かで検知が難しい攻撃である新規の「クェスト」攻撃のすべての事例を正常に検出できた。
• テストの全シナリオにおいてゼロの誤検出を達成した。これには、2018年式ボルボXC60の通常トラフィック、CANバスプロトタイプ、および他の2台の実車（2012年式トヨタ・カローラおよび2012年式ホンダ・シビック）の正常トラフィックが含まれる。
• 最適なしきい値$ \theta^* $は、検出遅延を最小限に抑えつつ誤検出への耐性を維持するデータ駆動型の検証プロセスにより特定された。
• 最適なラグパラメータ$ L^* $に対して遅延要因$ \theta_{L,\theta} $が最小化され、複数の攻撃シナリオにわたり迅速な検出が実証された。
• CASADは高い汎用性を示し、モデル固有のチューニングや設定を必要とせず、異なるメーカー・モデルの車両でも効果的に動作した。
• 本手法は、タイミングベースの検出器では検出できない、メッセージ行動における微細な逸脱に注目することで、従来のアプローチを上回る静かで検知が難しい攻撃の検出性能を発揮した。