[논문 리뷰] CANShield: Deep Learning-Based Intrusion Detection Framework for Controller Area Networks at the Signal-Level

Md Hasan Shahriar, Yang Xiao외 3명|arXiv (Cornell University)|2022. 05. 03.

Vehicular Ad Hoc Networks (VANETs)인용 수 4

한 줄 요약

CANShield는 다양한 시간 스케일에서 다중 컨volution 오토인코더(CAE)를 사용하여 신호 수준에서 CAN 버스 트래픽을 분석하는 딥러닝 기반 침입 탐지 프레임워크이다. 재구성 오차를 삼단계 분석 및 앙상블 의사결정을 통해 융합함으로써 기존 방법보다 6.40% 높은 AUROC를 달성하여 고정밀도 데이터셋에서 고도화된 도용 및 억압 공격과 같은 정교하고 은밀한 공격을 크게 향상시켜 탐지한다.

ABSTRACT

Modern vehicles rely on a fleet of electronic control units (ECUs) connected through controller area network (CAN) buses for critical vehicular control. With the expansion of advanced connectivity features in automobiles and the elevated risks of internal system exposure, the CAN bus is increasingly prone to intrusions and injection attacks. As ordinary injection attacks disrupt the typical timing properties of the CAN data stream, rule-based intrusion detection systems (IDS) can easily detect them. However, advanced attackers can inject false data to the signal/semantic level, while looking innocuous by the pattern/frequency of the CAN messages. The rule-based IDS, as well as the anomaly-based IDS, are built merely on the sequence of CAN messages IDs or just the binary payload data and are less effective in detecting such attacks. Therefore, to detect such intelligent attacks, we propose CANShield, a deep learning-based signal-level intrusion detection framework for the CAN bus. CANShield consists of three modules: a data preprocessing module that handles the high-dimensional CAN data stream at the signal level and parses them into time series suitable for a deep learning model; a data analyzer module consisting of multiple deep autoencoder (AE) networks, each analyzing the time-series data from a different temporal scale and granularity, and finally an attack detection module that uses an ensemble method to make the final decision. Evaluation results on two high-fidelity signal-based CAN attack datasets show the high accuracy and responsiveness of CANShield in detecting advanced intrusion attacks.

연구 동기 및 목표

• 기존 규칙 기반 및 이상 탐지 기반 IDS가 회피하는 고도화된 은밀한 사이버 공격으로 인한 CAN 버스의 증가하는 취약성을 해결한다.
• CAN 메시지의 ID 또는 페이로드만 분석하는 기존 IDS의 한계를 극복하여 의미론적 및 시간적 신호 상관관계를 간과하지 않는다.
• 매우 복잡한 CAN 신호 스트림을 처리할 수 있는 확장 가능한, 신호 수준의 침입 탐지 시스템을 개발하여 도용, 위조, 정지 공격과 같은 정교한 공격을 탐지할 수 있도록 한다.
• 다중 스케일 시간 분석과 재구성 오차의 앙상블 융합을 통해 탐지 정확도와 반응 속도를 향상시킨다.
• 고차원적이고 복잡한 CAN 신호 스트림을 갖는 실차 환경에 적합한 실용적이고 효율적인 솔루션을 제공한다.

제안 방법

• 고차원 메시지 스트림을 신호 수준에서 시간 시리즈 신호 표현으로 파싱하여 의미 있는 센서 값 추출을 통해 원시 CAN 데이터를 전처리한다.
• 다양한 시간 창에서 정상적인 신호 행동을 모델링하기 위해 다양한 시간 스케일과 해상도에서 다중 컨볼루션 오토인코더(CAE)를 훈련시킨다.
• 각 CAE에서 유도된 재구성 오차에 대해 삼단계의 구조적 분석을 수행하여 정상적인 신호 패턴에서 벗어나지 않는 미세한 이상을 탐지한다.
• 다중 스케일 재구성 결과를 융합하여 정규화된 이상 점수를 집계하는 앙상블 방법을 적용함으로써 강건성 향상과 추론 분산 감소를 달성한다.
• 융합된 재구성 오차를 기반으로 통합 이상 점수를 계산하는 최종 의사결정 모듈을 사용하여 고도화된 공격의 실시간 탐지를 가능하게 한다.
• CAN ID를 독립적으로 다루는 것 대신 ECU 간의 신호 수준 상관관계를 활용하여 조율된 또는 상관관계가 있는 공격을 탐지할 수 있도록 한다.

실험 결과

연구 질문

• RQ1 ID 주파수와 타이밍이 정상적인 상태를 유지하면서도 페이로드 값을 조작하는 고도화된 공격을 신호 수준의 딥러닝 기반 IDS가 탐지할 수 있는가?
• RQ2 신호 수준 데이터에 대한 다중 스케일 시간 분석은 단일 스케일 모델 대비 탐지 성능을 어떻게 향상시키는가?
• RQ3 삼단계 재구성 오차 분석은 전통적인 평균 평균 융합 방식에 비해 미세한 이상을 식별하는 데 얼마나 뛰어난가?
• RQ4 다양한 시간 해상도에서 훈련된 CAE의 앙상블은 실차 CAN 데이터셋에서 추론 분산을 줄이고 AUROC를 향상시키는 데 얼마나 기여하는가?
• RQ5 CANShield는 최신 기술 기준 대비 실생활에서의 정교한 공격, 예를 들어 위조, 정지, 도용 공격에 대해 어떻게 성능을 발휘하는가?

주요 결과

• CANShield는 재구성 오차의 삼단계 구조적 분석을 통해 기존의 평균 평균 재구성 오차 융합 방법보다 AUROC가 6.40% 향상된다.
• 다중 스케일 신호 표현의 통합은 단일 스케일 CAE 기반 프레임워크 대비 최소 2.19% 높은 AUROC를 달성하고 추론 분산을 감소시킨다.
• 위조 및 정지 공격을 탐지하는 데 있어 모든 평가된 기준 대비 CANShield가 뛰어난 성능을 보이며, 이는 이러한 공격이 미세하고 프로토콜 준수 행동을 보이기 때문에 특히 도전적인 이유 때문이다.
• 프레임워크는 고정밀도 신호 기반 CAN 공격 데이터셋인 SynCAN과 ROAD에서 강력한 성능을 보여주어 실제 환경에서의 강건성과 반응성의 확실성을 입증한다.
• ECU 간의 신호 수준 상관관계를 모델링함으로써 CANShield는 단일 ID 또는 페이로드 전용 모델이 식별하지 못하는 조율된 공격을 성공적으로 탐지한다.
• 앙상블 기반 의사결정 메커니즘은 수많은 CAN ID와 복잡한 신호 상호작용을 갖는 차량에 적합한 확장성을 유지하면서도 높은 탐지 정확도를 달성한다.