[论文解读] Advanced Analytics for Connected Cars Cyber Security

Matan Levi, Yair Allouche+1 more|arXiv (Cornell University)|Nov 6, 2017

Anomaly Detection Techniques and Applications参考文献 17被引用 14

一句话总结

本文提出了一种混合机器学习系统，通过监控跨接口事件（CAN、操作系统、网络）并应用具有自适应时间阈值的隐马尔可夫模型（HMMs），检测联网汽车中的网络攻击。通过将原始数据抽象为事件并采用基于回归的动态阈值方法，该方法优于静态阈值，能够检测出传统仅基于CAN的方法所遗漏的复杂多向量攻击，展现出在车队范围监控中的强大可扩展性。

ABSTRACT

The vehicular connectivity revolution is fueling the automotive industry's most significant transformation seen in decades. However, as modern vehicles become more connected, they also become much more vulnerable to cyber-attacks. In this paper, a fully working machine learning approach is proposed to protect connected vehicles (fleets and individuals) against such attacks. We present a system that monitors different vehicle's interfaces (Network, CAN and OS), extracts relevant information based on configurable rules and sends it to a trained generative model to detect deviations from normal behavior. Using configurable data collector, we provide a higher level of data abstraction as the model is trained based on events instead of raw data, which has a noise-filtering effect and eliminates the need to retrain the model whenever a protocol changes. We present a new approach for detecting anomalies, tailored to the temporal nature of our domain. Adapting the hybrid approach of Gutflaish et al. (2017) to the fully temporal setting, we first train a Hidden Markov Model to learn normal vehicle behavior, and then a regression model to calibrate the likelihood threshold for anomaly. Using this architecture, our method detects sophisticated and realistic anomalies, which are missed by other existing methods monitoring the CAN bus only. We also demonstrate the superiority of adaptive thresholds over static ones. Furthermore, our approach scales efficiently from monitoring individual cars to serving large fleets. We demonstrate the competitive advantage of our model via encouraging empirical results.

研究动机与目标

• 解决由于连接性增加和遗留系统导致的联网车辆日益增长的复杂多向量网络攻击的脆弱性问题。
• 通过整合来自操作系统、网络和CAN接口的跨系统数据，克服仅基于CAN总线监控的局限性。
• 开发一种可扩展的实时异常检测系统，能够适应不断演进的车辆协议而无需重新训练。
• 通过事件驱动的数据抽象和正常行为的时间建模，提高检测精度。
• 通过基于云的混合架构，实现车队范围的监控和跨车辆异常关联。

提出的方法

• 基于规则的数据收集器从CAN、操作系统和网络接口的原始车辆数据中提取高层次事件，实现协议无关的抽象。
• 使用事件序列对隐马尔可夫模型（HMMs）进行训练，以学习正常车辆行为模式。
• 通过时间回归模型，基于诸如驾驶开始以来的时间和连续事件间隔等特征，预测每个时间步的期望对数似然值。
• 通过将实际对数似然值与回归模型的预测值进行比较来检测异常，从而实现自适应阈值。
• 系统采用混合部署架构：轻量级车载收集器将处理后的事件发送至云端后端，用于集中式HMM推理和车队分析。
• HMMs按车辆单独训练或通过聚类分组，以实现可扩展的大规模车队监控。

实验结果

研究问题

• RQ1 跨接口监控（CAN、操作系统、网络）是否能够检测出绕过传统仅基于CAN总线异常检测的复杂攻击？
• RQ2 基于事件的数据抽象是否能提高模型鲁棒性，并减少协议变更后的重新训练需求？
• RQ3 通过回归对数似然值进行时间建模，是否能优于静态阈值提升异常检测效果？
• RQ4 该系统在单个车辆和大规模车队的实时监控中如何实现可扩展性？
• RQ5 基于云的HMM是否能通过关联多辆汽车的异常，检测正在进行的攻击？

主要发现

• 基于回归的时间阈值方法在所有检测模式和评估指标下，显著优于所有静态阈值方法。
• 该系统成功检测出涉及多个接口和攻击向量的复杂真实异常，这些异常被仅基于CAN总线的监控方法所遗漏。
• 事件抽象减少了噪声，并在底层协议变更时消除了重新训练模型的需求。
• 基于车载与后端混合的架构实现了实时检测，支持可扩展的车队监控和跨车辆异常关联。
• 通过聚类技术对单个车辆或分组训练的HMM实现了高检测准确率，同时保持了计算可行性。
• 实证结果表明，该系统在现实场景中检测细微且持续演化的攻击方面具有显著优势。