[论文解读] CANShield: Deep Learning-Based Intrusion Detection Framework for Controller Area Networks at the Signal-Level

Md Hasan Shahriar, Yang Xiao+3 more|arXiv (Cornell University)|May 3, 2022

Vehicular Ad Hoc Networks (VANETs)被引用 4

一句话总结

CANShield 是一种基于深度学习的入侵检测框架，通过在不同时间尺度上使用多个卷积自编码器（CAEs）对 CAN 总线流量进行信号级分析。通过三步分析与集成决策融合重建损失，其 AUROC 比传统方法高出 6.40%，显著提升了对高级隐蔽攻击（如伪装攻击和抑制攻击）的检测能力，尤其在高保真度数据集上表现优异。

ABSTRACT

Modern vehicles rely on a fleet of electronic control units (ECUs) connected through controller area network (CAN) buses for critical vehicular control. With the expansion of advanced connectivity features in automobiles and the elevated risks of internal system exposure, the CAN bus is increasingly prone to intrusions and injection attacks. As ordinary injection attacks disrupt the typical timing properties of the CAN data stream, rule-based intrusion detection systems (IDS) can easily detect them. However, advanced attackers can inject false data to the signal/semantic level, while looking innocuous by the pattern/frequency of the CAN messages. The rule-based IDS, as well as the anomaly-based IDS, are built merely on the sequence of CAN messages IDs or just the binary payload data and are less effective in detecting such attacks. Therefore, to detect such intelligent attacks, we propose CANShield, a deep learning-based signal-level intrusion detection framework for the CAN bus. CANShield consists of three modules: a data preprocessing module that handles the high-dimensional CAN data stream at the signal level and parses them into time series suitable for a deep learning model; a data analyzer module consisting of multiple deep autoencoder (AE) networks, each analyzing the time-series data from a different temporal scale and granularity, and finally an attack detection module that uses an ensemble method to make the final decision. Evaluation results on two high-fidelity signal-based CAN attack datasets show the high accuracy and responsiveness of CANShield in detecting advanced intrusion attacks.

研究动机与目标

• 应对 CAN 总线日益增长的易受高级隐蔽网络攻击影响的问题，这些攻击可规避传统基于规则和基于异常的 IDS。
• 克服现有 IDS 仅通过 ID 或有效载荷分析 CAN 消息的局限性，忽略语义和时间上的信号相关性。
• 开发一种可扩展的、基于信号级的入侵检测系统，能够检测复杂攻击，如伪装、伪造和挂起攻击。
• 通过多尺度时间分析和重建误差的集成融合，提升检测精度与响应速度。
• 提供一种实用且高效的解决方案，适用于具有高维复杂 CAN 信号流的真实车辆环境。

提出的方法

• 通过解析高维消息流，将原始 CAN 数据预处理为信号级的时间序列信号表示，提取有意义的传感器值。
• 在不同时间尺度和粒度上训练多个卷积自编码器（CAEs），以建模多样化时间窗口下的正常信号行为。
• 对每个 CAE 的重建损失执行三步结构化分析，以检测偏离正常信号模式的细微异常。
• 使用集成方法聚合个体异常评分，结合多尺度重建结果以提升鲁棒性并降低推理方差。
• 通过最终决策模块基于融合的重建误差计算统一异常评分，实现实时检测高级攻击。
• 利用 ECU 间信号级相关性，而非孤立处理 CAN ID，从而实现对协同或相关攻击的检测。

实验结果

研究问题

• RQ1 基于信号级的深度学习 IDS 是否能够检测到通过操纵有效载荷值但保持正常消息 ID 频率和时间特性的高级攻击？
• RQ2 与单尺度模型相比，对信号级数据进行多尺度时间分析在检测性能上有哪些提升？
• RQ3 三步重建损失分析在识别细微异常方面，相比传统的平均值聚合方法，优势有多大？
• RQ4 在不同时间粒度上训练的 CAE 集成是否能降低方差并提升真实世界 CAN 数据集上的 AUROC？
• RQ5 与最先进基线相比，CANShield 在应对实际复杂攻击（如伪造、挂起和伪装攻击）时表现如何？

主要发现

• 通过其三步结构化分析重建误差，CANShield 在 AUROC 上相比传统平均值聚合方法提升 6.40%。
• 多尺度信号表示的整合使推理方差降低，AUROC 至少提升 2.19%，优于任何单一尺度的 CAE 框架。
• CANShield 在检测伪造和挂起攻击方面优于所有评估的基线方法，这些攻击因行为细微且符合协议而极具挑战性。
• 该框架在两个高保真度信号级 CAN 攻击数据集（SynCAN 和 ROAD）上表现优异，证实其在真实场景中的鲁棒性与响应能力。
• 通过建模 ECU 间信号级相关性，CANShield 有效检测到单 ID 或仅基于有效载荷的模型无法识别的协同攻击。
• 基于集成的决策机制在保持可扩展性的同时，实现了高检测精度，适用于拥有大量 CAN ID 和复杂信号交互的车辆系统。