[论文解读] CASAD: CAN-Aware Stealthy-Attack Detection for In-Vehicle Networks

Nasser Nowdehi, Wissam Aoudi+2 more|arXiv (Cornell University)|Sep 18, 2019

Vehicular Ad Hoc Networks (VANETs)Engineering参考文献 31被引用 20

一句话总结

本文提出CASAD，一种面向CAN总线、与系统无关的入侵检测系统，通过从历史数据中学习正常车载网络（IVN）流量行为，实现对隐蔽攻击的检测，且无需依赖车辆特定配置。该系统能够及时检测出此前无法检测到的隐蔽攻击，包括新型的“征服”攻击，在多辆真实车辆及2018年沃尔沃XC60测试平台上均实现零误报。

ABSTRACT

Nowadays, vehicles have complex in-vehicle networks (IVNs) with millions of lines of code controlling almost every function in the vehicle including safety-critical functions. It has recently been shown that IVNs are becoming increasingly vulnerable to cyber-attacks capable of taking control of vehicles, thereby threatening the safety of the passengers. Several countermeasures have been proposed in the literature in response to the arising threats, however, hurdle requirements imposed by the industry is hindering their adoption in practice. In particular, detecting attacks on IVNs is challenged by strict resource constraints and utterly complex communication patterns that vary even for vehicles of the same model. In addition, existing solutions suffer from two main drawbacks. First, they depend on the underlying vehicle configuration, and second, they are incapable of detecting certain attacks of a stealthy nature. In this paper, we propose CASAD, a CAN-Aware Stealthy-Attack Detection mechanism that does not abide by the strict specifications predefined for every vehicle model and addresses key real-world deployability challenges. Our fast, lightweight, and system-agnostic approach learns the normal behavior of IVN dynamics from historical data and detects deviations by continuously monitoring IVN traffic. We demonstrate the effectiveness of CASAD by conducting various experiments on a CAN bus prototype, a 2018 Volvo XC60, and publicly available data from two real vehicles. Our approach is experimentally shown to be effective against different attack scenarios, including the prompt detection of stealthy attacks, and has considerable potential applicability to real vehicles.

研究动机与目标

• 解决在严格资源限制和实时性约束下，车载网络（IVN）中实时、轻量且可部署的入侵检测的迫切需求。
• 克服现有方案在检测隐蔽攻击方面的局限性，特别是那些模仿正常行为、不扰乱流量模式的攻击。
• 开发一种与系统无关的检测机制，无需针对单个车型预设规格或配置。
• 实现在新型隐蔽攻击变体（如“征服”攻击）出现时的及时检测，此类攻击通过保持正常流量动态特性，可规避传统基于异常的检测机制。

提出的方法

• CASAD通过使用基于延迟的统计分析方法，从历史CAN流量中学习消息到达时间间隔的时序模式，建模正常IVN行为。
• 基于与预期到达间隔的偏离程度，为每条消息计算一个“离散得分”，采用大小为 $ L $ 的滑动窗口和统计维度 $ r $。
• 系统采用基于阈值的报警机制，其中阈值 $ heta $ 通过在正常流量子序列上进行验证来优化，以最小化误报率，同时确保及时检测。
• 该方法使用延迟因子 $ heta_{L, heta} $ 来量化检测延迟，通过在多个阈值试验中最小化检测延迟的曲线下方面积，确定最优的 $ L^* $ 和 $ heta^* $。
• 通过避免依赖ECU特定签名或车辆型号配置，采用与系统无关的方法，实现广泛适用性。
• 该框架通过CAN总线原型、2018年沃尔沃XC60以及公开的2012年丰田卡罗拉和2012年本田思域数据进行了验证。

实验结果

研究问题

• RQ1 是否能够设计一种与系统无关、轻量级的异常检测机制，以检测不改变消息周期性或时间模式的IVN隐蔽攻击？
• RQ2 如何设计入侵检测系统，使其在汽车环境中严格受限的资源和实时性约束下有效运行？
• RQ3 在真实CAN流量中检测隐蔽攻击时，检测延迟与误报率之间的最优权衡是什么？
• RQ4 在不进行重新配置的情况下，基于一辆车训练的单一检测模型在其他车型上有效应用的范围有多大？
• RQ5 是否能够通过仅依赖流量模式分析的系统检测出一种新型真正隐蔽的攻击（如“征服”攻击）？

主要发现

• CASAD成功检测到所有‘征服’攻击实例，这是一种真正隐蔽的攻击，不改变消息到达时间或周期性，而现有系统无法检测。
• 在所有测试场景中，包括2018年沃尔沃XC60的正常流量、CAN总线原型以及另外两辆真实车辆（2012年丰田卡罗拉和2012年本田思域）中，系统均实现零误报。
• 通过数据驱动的验证过程确定了最优阈值 $ heta^* $，在最小化检测延迟的同时保持对误报的强鲁棒性。
• 在最优延迟参数 $ L^* $ 下，延迟因子 $ heta_{L, heta} $ 被最小化，证明了在多种攻击场景下均能实现快速检测。
• CASAD展现出高度泛化能力，在无需模型特定调优或配置的情况下，对不同品牌和型号的车辆均表现良好。
• 该方法通过关注传统基于时间的检测器无法察觉的消息行为细微偏差，在检测隐蔽攻击方面优于现有方法。