[論文レビュー] Exploiting the Shape of CAN Data for In-Vehicle Intrusion Detection

Zachariah Tyree, Robert A. Bridges+2 more|arXiv (Cornell University)|Aug 28, 2018

Vehicular Ad Hoc Networks (VANETs)参考文献 17被引用数 4

ひとこと要約

本論文は、多様体学習を用いてCANデータの幾何的形状を活用することで、データ駆動型で車両に依存しないイントラーシステム検出システム（IDS）を提案する。2つのリアルタイム検出器—学習された低次元多様体からの距離に基づくものと、多様体増分における時間的不連続性に基づくもの—を導入し、概念実証テストにおいてECU認証攻撃の強力な検出を実証した。特に、2番目の検出器は高速通信環境下でも明確で実行可能な信号を示した。

ABSTRACT

Modern vehicles rely on scores of electronic control units (ECUs) broadcasting messages over a few controller area networks (CANs). Bereft of security features, in-vehicle CANs are exposed to cyber manipulation and multiple researches have proved viable, life-threatening cyber attacks. Complicating the issue, CAN messages lack a common mapping of functions to commands, so packets are observable but not easily decipherable. We present a transformational approach to CAN IDS that exploits the geometric properties of CAN data to inform two novel detectors--one based on distance from a learned, lower dimensional manifold and the other on discontinuities of the manifold over time. Proof-of-concept tests are presented by implementing a potential attack approach on a driving vehicle. The initial results suggest that (1) the first detector requires additional refinement but does hold promise; (2) the second detector gives a clear, strong indicator of the attack; and (3) the algorithms keep pace with high-speed CAN messages. As our approach is data-driven it provides a vehicle-agnostic IDS that eliminates the need to reverse engineer CAN messages and can be ported to an after-market plugin.

研究の動機と目的

• CANメッセージの意味論を逆コンパイルすることなく、車両に依存しないCANネットワーク用のイントラーシステム検出システム（IDS）を開発すること。
• 正規のECUが適切なタイミングで送信する悪意あるメッセージを含む洗練されたECU認証攻撃を検出する課題に対処すること。
• ハードウェアの改造や車両固有の設定を必要とせず、後付けでIDSソリューションを導入できることを可能にすること。
• CANデータの内在的幾何的構造を活用し、信号多様体の形状のずれに基づいて異常を検出すること。
• 高速CANバス通信に適したリアルタイム性能を確保すること。

提案手法

• 走行状態に応じた周囲（通常）の通信データから、スペクトル共クラスタリングを用いて相関するCAN信号をグループ化する。
• 拡散マッピングを適用し、各走行状態ごとにCANデータの低次元で時間的に変化する多様体表現を学習する。
• 多様体が走行状態の変化に応じて進化できるように、更新式を用いたオンラインで適応可能な多様体モデルを維持する。
• 各新しいCANメッセージが学習済み多様体からのユークリッド距離を計算することで、ずれを検出する最初の検出器を開発する。
• 連続する多様体上の点間の増分距離を計算することで、急激な変化や不連続性を検出する2番目の検出器を開発する。
• 両検出器をリアルタイムで適用し、CANメッセージレート（ミリ秒単位）に追いつく計算効率を確保する。

実験結果

リサーチクエスチョン

• RQ1 CANデータの幾何的形状を、メッセージの意味論に関する事前知識なしに異常検出に活用できるか？
• RQ2 CAN通信の多様体ベース表現は、従来のルールベースおよび周波数ベースIDSを回避するECU認証攻撃を検出できるか？
• RQ3 提案手法の検出器は高速CANバス通信データ上でリアルタイムに動作するか？
• RQ4 ノイズや代表的でない訓練データが存在する中でも、増分距離検出器は攻撃発生区間を効果的に特定できるか？
• RQ5 本手法は逆コンパイルを必要とせず、後付けで車両に依存しないIDSとして導入可能か？

主な発見

• 増分距離検出器は攻撃発生区間において明確で強い信号を生成し、異常行動への高い感受性を示した。
• 多様体からの距離検出器は有望ではあるが、訓練データが十分に代表的でないため、攻撃時にも距離が小さくなる場合があり、改良を要した。
• 両検出器ともリアルタイムで動作し、高速CAN通信に追いついた。計算上の実現可能性が確認された。
• 2番目の検出器は、攻撃の開始と終了を多様体増分距離の明確なプラトーとして正しく特定した。これはECU認証攻撃に対して高い耐性を示している。
• 悪意あるデータが正規のECUから適切なタイミングで送信される次世代攻撃の検出に本手法が有効である可能性を示した。
• 本手法は本質的に車両に依存せず、CANから関数へのマッピングの知識も不要であるため、後付けで導入可能である。