[论文解读] Network intrusion detection systems for in-vehicle network - Technical report

Guillaume Dupont, Jerry den Hartog+2 more|arXiv (Cornell University)|May 28, 2019

Vehicular Ad Hoc Networks (VANETs)参考文献 48被引用 4

一句话总结

本技术报告对车载CAN总线网络的网络入侵检测系统（NIDS）进行了全面且分类的清单整理，分析了各系统如何提取信息（CAN ID、数据域、时间信息）以及构建检测模型（指定或学习所得）。其主要贡献在于基于数据使用方式与建模方法，对24种CAN NIDS提案进行了系统性分类，突出了模型构建中的挑战，以及准确率与实际部署之间的权衡。

ABSTRACT

Modern vehicles are complex safety critical cyber physical systems, that are connected to the outside world, with all security implications that brings. To enhance vehicle security several network intrusion detection systems (NIDS) have been proposed for the CAN bus, the predominant type of in-vehicle network. The in-vehicle CAN bus, however, is a challenging place to do intrusion detection as messages provide very little information; interpreting them requires specific knowledge about the implementation that is not readily available. In this technical report we collect how existing solutions address this challenge by providing an organized inventory of various CAN NIDSs present in the literature, categorizing them based on what information they extract from the network and how they build their model.

研究动机与目标

• 系统性地整理并分类现有车载CAN总线网络的网络入侵检测系统（NIDS）。
• 识别并分析文献中CAN NIDS所使用的不同类型信息，如CAN ID、数据域和时间信息。
• 研究检测模型的构建方式，区分基于人工指定的模型与通过流量观测学习得到的模型。
• 突出模型准确率面临的挑战，包括因学习阶段不完整导致的误报，以及缺乏对厂商规格文档的访问。
• 通过识别评估中的空白点以及统一测试框架的必要性，为未来基准测试奠定基础。

提出的方法

• 根据系统分析的数据类型对CAN NIDS进行分类：单帧、连续帧或帧序列窗口。
• 将模型构建方法划分为‘指定’（基于厂商文档）和‘学习’（在学习阶段通过观测流量构建）两类。
• 分析聚焦于CAN ID的检测技术，用于识别恶意帧，例如在模糊测试攻击中的应用。
• 通过深度包检测技术评估基于数据域的检测方法，以识别CAN消息数据域中的异常或非预期值。
• 评估基于时间的检测方法，通过监控消息的规律性与周期性来检测消息流中的异常。
• 调查响应机制，如通过注入主导位来阻止消息，或在攻击期间触发‘跛行模式’以禁用非关键系统。

实验结果

研究问题

• RQ1 现有CAN NIDS在入侵检测中所使用数据类型（CAN ID、数据域或时间）方面有何差异？
• RQ2 在真实部署中，指定模型与学习模型在性能上的相对优势与局限性是什么？
• RQ3 不同NIDS如何应对误报问题，特别是在学习阶段未能捕捉完整运行变异性的情况下？
• RQ4 依赖未公开或专有的CAN消息语义进行检测的实际影响是什么？
• RQ5 文献中提出了哪些响应机制？它们在保障安全与维持关键系统可用性之间如何权衡？

主要发现

• 大多数CAN NIDS依赖学习型模型，因官方规格文档难以获取，若学习阶段不完整则误报风险增加。
• 基于数据域的检测在识别异常值方面有效，但需要深度包检测，且对协议特定语义敏感。
• 基于CAN ID的检测常用于识别已知恶意模式（如模糊测试攻击中的模式），但仅限于单帧分析。
• 基于时间的检测在识别非规律消息流方面有效，尤其适用于预期为周期性消息的情况。
• 仅有少数系统提出了实用的响应机制，如注入错误帧或触发‘跛行模式’以减轻检测到的攻击。
• 本综述识别出标准化评估的关键空白，目前尚无统一框架用于跨不同车辆或攻击场景比较NIDS性能。