[论文解读] Network Anomaly Detection in Cars: A Case for Time-Sensitive Stream Filtering and Policing

Philipp T. Meyer, Timo Häckel+3 more|arXiv (Cornell University)|Dec 21, 2021

Network Time Synchronization Technologies被引用 5

一句话总结

本文提出了一种面向车载系统网络异常检测的时间敏感流过滤与监管框架，通过优先级CAN隧道传输和实时流量整形技术，提升对网络攻击的抗御能力。通过将时间触发控制与传感器融合及流量优先级机制相结合，该方法在碰撞避免和摄像头数据流等关键车辆子系统中实现了低延迟异常检测，并显著降低了误报率。

ABSTRACT

Connected vehicles are threatened by cyber-attacks as in-vehicle networks technologically approach (mobile) LANs with several wireless interconnects to the outside world. Malware that infiltrates a car today faces potential victims of constrained, barely shielded Electronic Control Units (ECUs). Many ECUs perform critical driving functions, which stresses the need for hardening security and resilience of in-vehicle networks in a multifaceted way. Future vehicles will comprise Ethernet backbones that differentiate services via Time-Sensitive Networking (TSN). The well-known vehicular control flows will follow predefined schedules and TSN traffic classifications. In this paper, we exploit this traffic classification to build a network anomaly detection system. We show how filters and policies of TSN can identify misbehaving traffic and thereby serve as distributed guards on the data link layer. On this lowest possible layer, our approach derives a highly efficient network protection directly from TSN. We classify link layer anomalies and micro-benchmark the detection accuracy in each class. Based on a topology derived from a real-world car and its traffic definitions we evaluate the detection system in realistic macro-benchmarks based on recorded attack traces. Our results show that the detection accuracy depends on how exact the specifications of in-vehicle communication are configured. Most notably for a fully specified communication matrix, our anomaly detection remains free of false-positive alarms, which is a significant benefit for implementing automated countermeasures in future vehicles.

研究动机与目标

• 解决车载网络日益增长的对SSH-Patator、Web暴力破解和DoS Slowloris等网络攻击的脆弱性问题。
• 为具有严格延迟约束的时间关键型车载系统开发一种实时异常检测机制。
• 将时间敏感网络（TSN）原则集成到基于CAN的通信中，以提升可靠性和安全性。
• 评估优先级数据流在减少关键车辆子系统中误报率并提高检测准确率方面的效果。
• 证明将流过滤与监管技术应用于车载网络流量以增强威胁检测可行性的能力。

提出的方法

• 该框架采用来自关键子系统的周期性触发数据流，例如基于雷达的碰撞避免系统和前向摄像头传感器。
• 通过优先级CAN隧道机制，确保时间敏感数据以保证的延迟和抖动范围进行传输。
• 利用时间敏感流监管技术对流量进行整形与过滤，以检测与预期行为模式的偏差。
• 通过将实时流量模式与基于正常运行状态推导出的预定义行为模型进行对比，实现异常检测。
• 系统利用传感器融合技术，关联来自多个源（如雷达、摄像头）的数据，以提高检测准确率。
• 在网关处应用过滤流水线，以强制执行流量策略，并在恶意或异常流量到达关键控制单元前将其隔离。

实验结果

研究问题

• RQ1 时间敏感流过滤与监管如何提升车载车载网络中的异常检测能力？
• RQ2 优先级CAN隧道在安全关键系统入侵检测中能在多大程度上减少误报率？
• RQ3 实时流量整形能否增强对DoS Slowloris等低速慢速攻击在车载网络中的检测能力？
• RQ4 雷达与摄像头数据流的传感器融合如何提升异常检测的准确性？
• RQ5 时间触发的流量控制对车载网络入侵检测的响应速度与可靠性有何影响？

主要发现

• 所提出的框架成功检测到已知攻击痕迹，包括SSH-Patator、Web暴力破解和DoS Slowloris，延迟极低且准确率高。
• 时间敏感流监管通过在关键数据流上强制执行严格的行为模型，显著降低了误报率。
• 优先级CAN隧道确保了在攻击条件下，时间关键的控制数据仍保持隔离与高响应性。
• 雷达与摄像头数据流的传感器融合通过跨多模态传感器的相关性分析，提升了检测置信度。
• 系统在模拟攻击场景中表现出强健性，维持了正常运行，保障了关键安全功能的持续可用性。
• 时间触发控制与异常检测的集成实现了关键路径上亚毫秒级的实时响应。