[論文レビュー] GCNIDS: Graph Convolutional Network-Based Intrusion Detection System for CAN Bus

Maloy Kumar Devnath|arXiv (Cornell University)|Sep 18, 2023

Vehicular Ad Hoc Networks (VANETs)被引用数 5

ひとこと要約

本論文は、CANバスネットワーク向けのグラフ畳み込みネットワーク（GCN）ベースのインシデント検出システム、GCNIDSを提案する。このシステムは、最大インデグリーとアウトデグリーの2つのグラフ特徴量のみを用いて、生のCANメッセージをグラフ構造データに変換する。モデルは、DoS、Fuzzy、スプーフィング、リプレイ攻撃を含む単一攻撃および混合攻撃において、最先端の性能を達成しており、DoSおよびFuzzy攻撃では99％の精度を示し、難易度の高いリプレイ攻撃の検出にも優れた性能を発揮する。これにより、手動による特徴量設計の必要性が顕著に低減される。

ABSTRACT

The Controller Area Network (CAN) bus serves as a standard protocol for facilitating communication among various electronic control units (ECUs) within contemporary vehicles. However, it has been demonstrated that the CAN bus is susceptible to remote attacks, which pose risks to the vehicle's safety and functionality. To tackle this concern, researchers have introduced intrusion detection systems (IDSs) to identify and thwart such attacks. In this paper, we present an innovative approach to intruder detection within the CAN bus, leveraging Graph Convolutional Network (GCN) techniques as introduced by Zhang, Tong, Xu, and Maciejewski in 2019. By harnessing the capabilities of deep learning, we aim to enhance attack detection accuracy while minimizing the requirement for manual feature engineering. Our experimental findings substantiate that the proposed GCN-based method surpasses existing IDSs in terms of accuracy, precision, and recall. Additionally, our approach demonstrates efficacy in detecting mixed attacks, which are more challenging to identify than single attacks. Furthermore, it reduces the necessity for extensive feature engineering and is particularly well-suited for real-time detection systems. To the best of our knowledge, this represents the pioneering application of GCN to CAN data for intrusion detection. Our proposed approach holds significant potential in fortifying the security and safety of modern vehicles, safeguarding against attacks and preventing them from undermining vehicle functionality.

研究の動機と目的

• 攻撃固有の検出ロジックに依存せず、さまざまな攻撃、特に混合攻撃を検出可能な汎用性の高いCANバスネットワーク向けインシデント検出システム（IDS）の開発。
• 生のCANデータのグラフ表現を活用することで、手動による特徴量設計を最小限に抑え、リアルタイム展開に適した仕組みを実現すること。
• リプレイ攻撃や混合攻撃など、従来のIDSがしばしば無視されたり、不十分に処理されがちな困難な攻撃タイプの検出精度を向上させること。
• 最大インデグリーと最大アウトデグリーの2つのグラフ特徴量のみを用いて、GCNをCANバスデータに適用する初の研究でありながら、高い検出性能を維持すること。
• 実世界のCANデータ、特に複数の攻撃タイプが同時に発生する複雑な攻撃シナリオにおいて、モデルの頑健性を評価すること。

提案手法

• 提案手法は、生のCANメッセージを有向グラフに変換する。各メッセージをノードとし、メッセージ送信関係をエッジとして定義する。
• GCNモデルの入力として、最大インデグリーと最大アウトデグリーの2つのグラフ特徴量のみを用いる。これにより、広範な特徴量設計の必要性が最小限に抑えられる。
• グラフ畳み込みネットワーク（GCN）を用いて、CANメッセージグラフ内の空間的・時間的パターンを学習し、生データからのエンドツーエンド学習を可能にする。
• GCNモデルは、正常および攻撃意図のあるCANトラフィックのラベル付きデータセットを用いて学習され、攻撃対正常行動の二値分類にクロスエントロピー損失が使用される。
• モデルの評価には、混同行列と標準指標（適合率、再現率、F1スコア）が用いられ、単一攻撃（DoS、Fuzzy、スプーフィング、リプレイ）および混合攻撃（DoS、Fuzzy、スプーフィング、リプレイの組み合わせ）の両方をカバーする。
• 本手法は実世界のCANデータセットを用いて検証され、SVMおよびGBFベースの最先端手法と性能を比較した。

(a)

実験結果

リサーチクエスチョン

• RQ1 GCNベースのモデルは、特徴量設計を最小限に抑えつつ、CANバスネットワークにおけるさまざまな単一攻撃および混合攻撃を高精度で検出可能か？
• RQ2 本研究で提案するGCNIDSモデルは、検出が難しいことで知られるリプレイ攻撃に対して、どのように性能を発揮するか？
• RQ3 DoS、Fuzzy、スプーフィング、リプレイ攻撃が同時に発生する混合攻撃に対しても、モデルは汎用性を示せるか？これは現実の脅威をより的確に反映している。
• RQ4 最大インデグリーと最大アウトデグリーの2つのグラフ特徴量のみを用いることで、ドメイン特化の特徴量設計を一切不要としつつ、効果的な攻撃検出が可能か？
• RQ5 さまざまな攻撃シナリオにおいて、GCNIDSはSVMやGBFベースの最先端IDSと比較して、適合率、再現率、F1スコアの観点で優れた性能を示すか？

主な発見

• GCNIDSモデルは、DoS攻撃が発生したグラフの検出において99％の精度を達成し、攻撃なしのグラフにおいてはたった87件の偽陽性にとどまった。
• Fuzzy攻撃の検出では、偽陽性率がたった0.11％にとどまり、全テストケースのうち12件のみが誤分類された。
• DoS、Fuzzy、スプーフィング攻撃を含む混合攻撃の99％を検出できた。これは、Refatら（2022年）の最先端手法を上回る性能であった。
• 最も困難なリプレイ攻撃に対しても、偽陰性はたった38件にとどまり、攻撃の巧妙さにもかかわらず、優れた検出能力を示した。
• DoS、Fuzzy、スプーフィング、リプレイ攻撃が同時に発生する混合攻撃の検出においても、モデルは高い性能を維持し、複雑な現実世界の攻撃パターンに対しても頑健であることを示した。
• SVM分類器（Tanksale, 2019）およびGBFベース手法（Refatら, 2022）と比較して、すべての攻撃タイプにおいて適合率、再現率、F1スコアの観点で顕著に優れた性能を発揮した。

(b)