[논문 리뷰] Using Data Analytics to Detect Anomalous States in Vehicles

Sandeep Nair Narayanan, Sudip Mittal외 1명|arXiv (Cornell University)|2015. 12. 25.

Anomaly Detection Techniques and Applications인용 수 26

한 줄 요약

이 논문은 실시간 CAN 버스 데이터를 분석하여 차량의 비정상 상태를 탐지하기 위해 은닉 마르코프 모델(HMM)을 사용하는 데이터 분석 기반 접근법을 제안한다. 이 방법은 신규 차량과 구형 차량 모두에서 급격한 속도나 RPM 변화와 같은 비정상 패턴을 성공적으로 식별하며, 프로토콜 수준의 변경 없이도 높은 탐지 정확도를 보인다.

ABSTRACT

Vehicles are becoming more and more connected, this opens up a larger attack surface which not only affects the passengers inside vehicles, but also people around them. These vulnerabilities exist because modern systems are built on the comparatively less secure and old CAN bus framework which lacks even basic authentication. Since a new protocol can only help future vehicles and not older vehicles, our approach tries to solve the issue as a data analytics problem and use machine learning techniques to secure cars. We develop a Hidden Markov Model to detect anomalous states from real data collected from vehicles. Using this model, while a vehicle is in operation, we are able to detect and issue alerts. Our model could be integrated as a plug-n-play device in all new and old cars.

연구 동기 및 목표

• CAN 버스 프로토콜에 인증 기능이 없고 원격 공격에 취약하여 증가하는 연결 차량의 보안 위협을 해결하기 위해.
• 구형 차량과 호환되지 않는 프로토콜 수준의 보안 솔루션의 한계를 극복하기 위해 이상 탐지를 데이터 분석 문제로 재정의하기 위해.
• 모델에 종속되지 않는 즉시 사용 가능한 시스템을 개발하여, 어떤 차량에도 실시간으로 비정상 또는 악성 상태를 탐지할 수 있도록 하기 위해.
• 실제 CAN 데이터 기반 기계 학습을 통해 정상적인 차량 행동에서의 이탈을 식별하는 데 있어 가능성을 입증하기 위해.

제안 방법

• 포드, 토요타, 혼다 차량에서 실시간 CAN 버스 데이터를 수집하여 정상적인 차량 운행을 대표하는 데이터셋을 구축하였다.
• 은닉 마르코프 모델(HMM)을 사용하여 상태 시퀀스 모델링 문제로 이상 탐지 문제를 재구성하고, 정상 주행 패턴에 기반해 훈련하였다.
• 차량의 속도 및 RPM과 같은 파라미터 기반으로 상태 간의 확률적 전이를 학습하기 위해 HMM을 훈련시켰다.
• 실제 데이터를 수정하여 비정상적 또는 악성 행동(예: RPM 감소와 함께 급격한 속도 증가)을 시뮬레이션하는 합성 이상 시나리오를 사용하여 모델을 평가하였다.
• 단일 및 다중 변수 관측(속도와 RPM을 동시에)을 통해 모델이 복잡한 이상을 탐지하는 데 있어 강건성을 평가하였다.
• 낮은 확률의 상태 전이를 기반으로 경고를 생성하여 잠재적 공격 또는 고장을 경고하는 데 사용하였다.

실험 결과

연구 질문

• RQ1 공격 서명에 대한 사전 지식 없이도 실질적인 CAN 버스 데이터 기반 기계 학습 모델이 비정상적인 차량 상태를 탐지할 수 있는가?
• RQ2 여러 파라미터(예: 속도 및 RPM)를 동시에 고려할 때 은닉 마르코프 모델이 차량 센서 데이터의 비정상 패턴을 식별하는 데 얼마나 효과적인가?
• RQ3 갑작스럽게 속도가 증가하면서 동시에 RPM이 감소하는 것과 같은 물리적으로 비합리적인 이상을 이 방법이 탐지할 수 있는가?
• RQ4 이 방법이 CAN 프로토콜의 기초 변경 없이도 현대 차량과 구형 차량 모두에 즉시 사용 가능한 솔루션으로 구현 가능한가?
• RQ5 이상의 심각도 수준이 다양하거나 다차원 상태 공간에서 모델의 성능은 어떻게 되는가?

주요 결과

• 다중 관측 평가에서 HMM 기반 모델은 테스트한 8개의 합성 이상 시나리오를 모두 성공적으로 탐지하였으며, 급격한 속도 증가와 함께 RPM 감소와 같은 물리적으로 비합리적인 조합도 포함되어 있었다.
• 단일 관측 테스트에서는 속도나 RPM의 급격한 변화 또는 점진적인 변화가 있는 모든 경우에 정확히 탐지하였으며, 이상이 존재할 때만 경고를 발행하였다.
• 정상 주행 패턴에서는 가짜 경고를 발생시키지 않아, 비정상 행동에만 강력한 특이도를 보였다.
• 이 방법은 CAN 프로토콜이나 ECU 펌웨어의 변경 없이도 신형 및 구형 차량 모두에 적용 가능하여 매우 높은 적응성을 보였다.
• 결과적으로 HMM 기반 데이터 기반 이상 탐지는 차량 네트워크 보안을 위한 실용적이고 경량적이며 확장 가능한 솔루션으로 활용될 수 있음을 시사한다.
• 모델의 일반화 및 강건성을 향상시키기 위해 자동차 보안 분야에서 더 풍부하고 다양한 데이터셋이 필요하다는 점을 이 연구는 강조한다.