[논문 리뷰] Advanced Analytics for Connected Cars Cyber Security

Matan Levi, Yair Allouche외 1명|arXiv (Cornell University)|2017. 11. 06.

Anomaly Detection Techniques and Applications참고 문헌 17인용 수 14

한 줄 요약

이 논문은 크로스 인터페이스 이벤트(CAN, OS, 네트워크)를 모니터링하고 은닉 마르코프 모델(HMM)을 사용하며, 적응형 시간적 임계값을 적용하여 연결된 자동차에서 사이버 공격을 탐지하는 하이브리드 기계학습 시스템을 제안한다. 원시 데이터를 이벤트로 추상화하고 회귀 기반 동적 임계값을 적용함으로써 정적 임계값보다 우수한 성능을 보이며, CAN 전용 접근 방식이 놓치는 복잡한 다중 벡터 공격을 탐지한다. 이는 차량 전체에 걸쳐 확장 가능한 모니터링을 위해 강력한 스케일러빌리티를 입증한다.

ABSTRACT

The vehicular connectivity revolution is fueling the automotive industry's most significant transformation seen in decades. However, as modern vehicles become more connected, they also become much more vulnerable to cyber-attacks. In this paper, a fully working machine learning approach is proposed to protect connected vehicles (fleets and individuals) against such attacks. We present a system that monitors different vehicle's interfaces (Network, CAN and OS), extracts relevant information based on configurable rules and sends it to a trained generative model to detect deviations from normal behavior. Using configurable data collector, we provide a higher level of data abstraction as the model is trained based on events instead of raw data, which has a noise-filtering effect and eliminates the need to retrain the model whenever a protocol changes. We present a new approach for detecting anomalies, tailored to the temporal nature of our domain. Adapting the hybrid approach of Gutflaish et al. (2017) to the fully temporal setting, we first train a Hidden Markov Model to learn normal vehicle behavior, and then a regression model to calibrate the likelihood threshold for anomaly. Using this architecture, our method detects sophisticated and realistic anomalies, which are missed by other existing methods monitoring the CAN bus only. We also demonstrate the superiority of adaptive thresholds over static ones. Furthermore, our approach scales efficiently from monitoring individual cars to serving large fleets. We demonstrate the competitive advantage of our model via encouraging empirical results.

연구 동기 및 목표

• 증가하는 연결성과 노후 시스템으로 인해 연결된 차량이 점점 더 복잡한 다중 벡터 사이버 공격에 취약해지는 문제를 해결하기 위해.
• CAN 버스 전용 모니터링의 한계를 극복하기 위해 운영체제(OS), 네트워크 및 CAN 인터페이스에서의 크로스 시스템 데이터를 통합하기 위해.
• 재학습 없이도 진화하는 차량 프로토콜에 적응할 수 있는 확장 가능하고 실시간 이상 탐지 시스템을 개발하기 위해.
• 이벤트 기반 데이터 추상화와 정상 행동의 시간적 모델링을 통해 탐지 정확도를 향상시키기 위해.
• 클라우드 기반 하이브리드 아키텍처를 통해 차량 간 이상 현상 간의 상관관계를 분석하고 전체 차량 무리에 걸쳐 모니터링를 가능하게 하기 위해.

제안 방법

• 규칙 기반 데이터 수집기로 CAN, OS 및 네트워크 인터페이스 전반의 원시 차량 데이터에서 고수준 이벤트를 추출하여 프로토콜에 관계없이 추상화를 가능하게 한다.
• 정상적인 차량 행동 패턴을 학습하기 위해 이벤트 시퀀스에 대해 은닉 마르코프 모델(HMM)을 훈련한다.
• 시간이 지남에 따라 발생하는 특징(예: 주행 시작 이후 경과 시간, 연속된 이벤트 간격 등)을 기반으로 각 시간 단계에서 예상되는 로그우도 값을 예측하는 시간적 회귀 모델을 사용한다.
• 실제 로그우도 값과 회귀 모델에서 예측한 값을 비교하여 이상을 탐지함으로써 적응형 임계값을 구현한다.
• 하이브리드 배포 아키텍처를 사용하여 경량의 차량 내 수집기가 처리된 이벤트를 클라우드 백엔드로 전송하고, 중앙 집중식 HMM 추론 및 무리 전체 분석을 수행한다.
• HMM은 개별 차량 또는 군집 기반으로 클러스터링을 통해 훈련되어 대규모 무리 전체에 걸친 확장 가능한 모니터링이 가능하도록 한다.

실험 결과

연구 질문

• RQ1 CAN, OS, 네트워크 인터페이스를 모두 포함한 크로스 인터페이스 모니터링이 기존의 CAN 버스 전용 이상 탐지 방식을 우회하는 정교한 공격을 탐지할 수 있는가?
• RQ2 이벤트 기반 데이터 추상화가 모델의 강건성을 향상시키고 프로토콜 변경 후 재학습이 필요 없게 하는 데 기여하는가?
• RQ3 로그우도 값의 시간적 모델링을 회귀를 통해 수행할 경우 정적 임계값 대비 이상 탐지 성능이 향상되는가?
• RQ4 개별 차량과 대규모 무리에 대한 실시간 모니터링에 대해 시스템의 확장성은 어떻게 보장되는가?
• RQ5 클라우드 기반 HMM은 다수의 차량 간 이상 현상을 상관관계 분석함으로써 진행 중인 공격을 탐지할 수 있는가?

주요 결과

• 회귀 기반 시간적 임계값 설정 방식은 모든 탐지 모드와 평가 지표에서 정적 임계값 방법보다 뚜렷하게 뛰어난 성능을 보였다.
• 시스템은 CAN 버스 전용 모니터링이 놓친 다중 인터페이스 및 공격 벡터를 포함한 실재성 있는 복잡한 이상 현상을 성공적으로 탐지했다.
• 이벤트 추상화로 노이즈가 감소했고, 기반 프로토콜가 변경되어도 모델 재학습이 필요 없어졌다.
• 차량 내 수집기와 백엔드의 하이브리드 아키텍처는 실시간 탐지 기능을 제공하며, 확장 가능한 무리 전체 모니터링과 차량 간 이상 현상 상관관계 분석을 가능하게 했다.
• 클러스터링 기법을 사용해 개별 차량 또는 군집 단위로 HMM을 훈련함으로써 높은 탐지 정확도를 확보하면서도 계산적 타당성을 유지했다.
• 실증 결과는 실제 환경에서 점진적으로 변화하는 미묘한 공격을 탐지하는 데 시스템의 경쟁력을 입증했다.