[논문 리뷰] Exploiting the Shape of CAN Data for In-Vehicle Intrusion Detection

Zachariah Tyree, Robert A. Bridges외 2명|arXiv (Cornell University)|2018. 08. 28.

Vehicular Ad Hoc Networks (VANETs)참고 문헌 17인용 수 4

한 줄 요약

이 논문은 만곡선 학습을 통해 CAN 데이터의 기하학적 형태를 활용하여 데이터 기반의 차량 독립형 침입 탐지 시스템(Intrusion Detection System, IDS)을 제안한다. 두 가지 실시간 탐지기—학습된 저차원 만곡면에서의 거리 기반 탐지기와 만곡면 증분의 시간적 비연속성 기반 탐지기—를 도입하여 개념 증명 테스트에서 ECU-인증 공격을 강력하게 탐지함을 입증하였으며, 특히 고속 통신 환경에서도 두 번째 탐지기는 명확하고 실행 가능한 신호를 제공하였다.

ABSTRACT

Modern vehicles rely on scores of electronic control units (ECUs) broadcasting messages over a few controller area networks (CANs). Bereft of security features, in-vehicle CANs are exposed to cyber manipulation and multiple researches have proved viable, life-threatening cyber attacks. Complicating the issue, CAN messages lack a common mapping of functions to commands, so packets are observable but not easily decipherable. We present a transformational approach to CAN IDS that exploits the geometric properties of CAN data to inform two novel detectors--one based on distance from a learned, lower dimensional manifold and the other on discontinuities of the manifold over time. Proof-of-concept tests are presented by implementing a potential attack approach on a driving vehicle. The initial results suggest that (1) the first detector requires additional refinement but does hold promise; (2) the second detector gives a clear, strong indicator of the attack; and (3) the algorithms keep pace with high-speed CAN messages. As our approach is data-driven it provides a vehicle-agnostic IDS that eliminates the need to reverse engineer CAN messages and can be ported to an after-market plugin.

연구 동기 및 목표

• CAN 메시지 의미어의 역공학 분석이 필요 없는 차량 독립형 CAN 네트워크용 침입 탐지 시스템( IDS ) 개발
• 정상적인 ECU에서 정확한 시간에 악성 메시지가 발생하는 고도화된 ECU-인증 공격 탐지 과제 해결
• 하드웨어 수정이나 차량별 설정 없이도 애프터마켓에 적용 가능한 IDS 솔루션 제공
• CAN 데이터의 내재된 기하학적 구조를 활용하여 신호 만곡면의 형태 변화에 기반한 이상 탐지
• 고속 CAN 버스 트래픽 환경에 적합한 실시간 성능 보장

제안 방법

• 주행 상태 기반으로 환경(정상) 트래픽 데이터에서 상관관계가 있는 CAN 신호를 스펙트럴 공집합 클러스터링으로 그룹화
• 각 주행 상태에 대해 CAN 데이터의 저차원, 시간에 따라 변화하는 만곡면 표현을 학습하기 위해 확산 맵핑 적용
• 차량 상태 변화에 따라 만곡면이 진화할 수 있도록 온라인 및 적응형 만곡면 모델 유지
• 각 신규 CAN 메시지가 학습된 만곡면에서 떨어진 유클리드 거리를 계산하여 이격도를 탐지하는 첫 번째 탐지기 개발
• 연속된 만곡면 점들 간의 증분 거리를 계산하여 급격한 변화나 비연속성을 탐지하는 두 번째 탐지기 개발
• 두 탐지기를 실시간으로 적용하여 CAN 메시지 속도(밀리초 단위)에 맞추어 계산 효율성 확보

실험 결과

연구 질문

• RQ1 메시지 의미어에 대한 사전 지식 없이도 CAN 데이터의 기하학적 형태를 활용해 이상을 탐지할 수 있는가?
• RQ2 만곡면 기반 표현이 기존 규칙 기반 및 주파수 기반 IDS를 회피하는 ECU-인증 공격을 탐지할 수 있는가?
• RQ3 제안된 탐지기가 고속 CAN 버스 트래픽에서 실시간으로 작동할 수 있는가?
• RQ4 노이즈 또는 비대표적인 학습 데이터가 존재하더라도 증분 거리 탐지기가 공격 간격을 효과적으로 식별할 수 있는가?
• RQ5 역공학 분석이 필요 없이 애프터마켓에서 차량 독립형 IDS로 구현 가능한가?

주요 결과

• 증분 거리 탐지기는 공격 간격 동안 명확하고 강력한 신호를 생성하여 비정상 행동에 대한 높은 민감도를 보였다.
• 만곡면에서의 거리 탐지기는 개선이 필요했으며, 훈련 데이터가 충분히 대표적이지 않아 공격 시기 동안 거리가 낮게 측정되는 경우가 있었다.
• 두 탐지기 모두 고속 CAN 트래픽과 동기화하여 실시간으로 작동하여 계산 가능성 확인
• 두 번째 탐지기는 공격 시작 및 종료 시기에 증분 거리의 명확한 플랫폼으로서의 특징을 보여주어 ECU-인증 공격에 대한 강건성을 입증함
• 악성 데이터가 정상적인 ECU에서 정확한 시간에 전송되는 차세대 공격도 탐지 가능성을 보여줌
• 이 방법은 본질적으로 차량 독립적이며 CAN-기능 매핑 지식이 필요 없어 애프터마켓 배포에 적합함