青驥信息安全原創(chuàng)技術(shù)系列專題
車輛變得越來越智能，提供了越來越多的創(chuàng)新應(yīng)用程，涵蓋了從車輛控制到遠(yuǎn)程信息處理和高級(jí)駕駛員輔助系統(tǒng)等各種功能。為了實(shí)現(xiàn)這一目標(biāo)，智能車可能超過1億行代碼，這些代碼在遍布整個(gè)車輛的微控制器（ECU）上運(yùn)行，并與外界連接?，F(xiàn)代車輛是復(fù)雜的網(wǎng)絡(luò)物理網(wǎng)絡(luò)，而不是純粹的機(jī)械設(shè)備。增加的連接性和許多功能雖然帶來許多好處，但同時(shí)也帶來明顯的安全風(fēng)險(xiǎn)，甚至危及生命。
然而現(xiàn)有的車內(nèi)網(wǎng)絡(luò)設(shè)計(jì)（例如CAN總線）缺乏網(wǎng)絡(luò)安全的考慮。入侵檢測(cè)是解決車內(nèi)網(wǎng)絡(luò)網(wǎng)絡(luò)攻擊的有效方法，同時(shí)又必須滿足功能安全和實(shí)時(shí)通信保證，本文給出了車內(nèi)網(wǎng)絡(luò)入侵系統(tǒng)設(shè)計(jì)的約束條件和特征，并重點(diǎn)介紹車內(nèi)網(wǎng)絡(luò)入侵檢測(cè)（車內(nèi)網(wǎng)絡(luò) IDS）的常用方法。
1. 智能車車載網(wǎng)絡(luò)安全威脅
1.1 車載網(wǎng)絡(luò)架構(gòu)特點(diǎn)圖1：典型的汽車內(nèi)部網(wǎng)絡(luò)組成機(jī)構(gòu)架構(gòu)據(jù)圖1，汽車電子系統(tǒng)是一種異構(gòu)的分布式實(shí)時(shí)系統(tǒng)，由通過各種總線類型的車載網(wǎng)絡(luò)互聯(lián)的大量ECU組成（總線類型包括CAN，LIN，F(xiàn)lexRay和Ethernet等）。這些網(wǎng)絡(luò)通過中央網(wǎng)關(guān)進(jìn)行相互通信。IVN具有異構(gòu)，實(shí)時(shí)和成本敏感的功能，如下所述。
- 汽車電子系統(tǒng)是典型的CPS系統(tǒng)。異構(gòu)性不僅反映在ECU節(jié)點(diǎn)處理器（FPGA，DSP和MCU等）的異構(gòu)性中，而且還反映在內(nèi)部網(wǎng)絡(luò)的異構(gòu)性中。汽車的內(nèi)部網(wǎng)絡(luò)環(huán)境通常由多個(gè)協(xié)議組成，用于實(shí)現(xiàn)成本和性能的平衡。不同網(wǎng)絡(luò)之間的數(shù)據(jù)通過網(wǎng)關(guān)進(jìn)行交互。平衡成本和性能的方法也是IVN IDS設(shè)計(jì)中的關(guān)鍵問題之一。
- 多個(gè)外部接口：車輛與外部網(wǎng)絡(luò)集成以提供智能，便捷的服務(wù)。也增加了車輛的外部通信接口以及對(duì)IVN系統(tǒng)的安全威脅。這些外部接口與IVN集成在一起，包括無線和有線接口。圖2從外部接口的角度概述了IVN的三層結(jié)構(gòu)。汽車電子系統(tǒng)的主要部分是IVN層，該層包括電源，車身和高速信息服務(wù)以及其他功能域。由于成本的原因，ECU的計(jì)算能力各不相同，并且它們的大多數(shù)外部通信都需要通過汽車網(wǎng)關(guān)，包括物理和無線接口。
圖2：車內(nèi)網(wǎng)絡(luò)三層架構(gòu)示意圖多功能安全關(guān)鍵級(jí)別系統(tǒng)：車載網(wǎng)絡(luò)是功能強(qiáng)大的功能安全關(guān)鍵系統(tǒng)（safety-critical system），需要符合相應(yīng)的功能安全標(biāo)準(zhǔn)（例如ISO26262）。在汽車環(huán)境中，不同的功能域具有相應(yīng)的功能安全要求。例如，娛樂系統(tǒng)具有高帶寬需求，而動(dòng)力總成域則是功能安全至關(guān)重要的系統(tǒng)。ISO26262標(biāo)準(zhǔn)將汽車電子系統(tǒng)分為四個(gè)汽車安全完整性級(jí)別，即A，B，C和D。最初要保證汽車電子系統(tǒng)的功能安全并遵守相關(guān)的安全標(biāo)準(zhǔn)對(duì)于IVN安全性問題是必要的。值得注意的是，汽車電子系統(tǒng)是功能安全至關(guān)重要的系統(tǒng)。因此，IVN的安全問題不僅是信息安全或隱私問題，而且還是功能安全相關(guān)的問題。網(wǎng)絡(luò)安全威脅會(huì)直接影響駕駛員和周圍人員的安全。缺乏網(wǎng)絡(luò)安全設(shè)計(jì)：鑒于汽車外部通信接口的數(shù)量不斷增加， 車內(nèi)網(wǎng)絡(luò)設(shè)計(jì) 之初并沒有考慮身份驗(yàn)證和加密機(jī)制，因此迫切需要安全身份驗(yàn)證機(jī)制和入侵檢測(cè)來實(shí)現(xiàn)網(wǎng)絡(luò)安全性。作為事實(shí)上的標(biāo)準(zhǔn)車載通信網(wǎng)絡(luò)，CAN（ISO 11898）在汽車和其他工業(yè)環(huán)境中已使用30多年，通常用于對(duì)功能安全至關(guān)重要的系統(tǒng)連接。但是CAN總線協(xié)議缺乏安全保證，容易受到攻擊。目前的IDS系統(tǒng)集中在研究適用于CAN的入侵檢測(cè)技術(shù)上。
CAN總線特點(diǎn)：
CAN總線是未經(jīng)身份驗(yàn)證和未加密的廣播總線，任何人都可以讀取和發(fā)送任何消息。因此，一旦獲得訪問權(quán)限，攻擊者就可以偵聽總線上的所有流量，并發(fā)送自己選擇的CAN ID和有效負(fù)載的幀。發(fā)送診斷消息使攻擊者可以利用某些ECU中實(shí)現(xiàn)的特定功能。這樣的診斷消息可能非常強(qiáng)大?；蛘吖粽呖梢杂^察到的消息，使用隨機(jī)值（模糊處理）或制作具有特定值的消息以達(dá)到期望的結(jié)果（如欺騙），當(dāng)然前提是攻擊者對(duì)汽車的CAN實(shí)現(xiàn)有足夠的了解（例如給定CAN ID的有效負(fù)載如何編碼）。由于此類網(wǎng)絡(luò)的固有漏洞以及提供車載網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間的接口日益豐富，惡意攻擊者可以輕松地對(duì)IVN實(shí)施攻擊。對(duì)IVN的攻擊通?？梢苑譃槿齻€(gè)步驟。
- 首先，惡意攻擊者需要通過物理或無線接口訪問目標(biāo)IVN。
- 其次，更換受損的ECU的固件，然后嗅探并解析網(wǎng)絡(luò)。
- 第三，對(duì)車輛進(jìn)行不同級(jí)別的攻擊，其中包括特定功能（例如控制車輛的啟動(dòng)和停止）和網(wǎng)絡(luò)失效（例如DoS）。
為清楚地描述IVN系統(tǒng)的攻擊，我們將攻擊的網(wǎng)絡(luò)層層次對(duì)攻擊類型進(jìn)行分類，即物理層，數(shù)據(jù)鏈路層和應(yīng)用層。表I中描述了對(duì)汽車的實(shí)驗(yàn)攻擊。對(duì)IVN的三層攻擊的特征如下
1.3 車載網(wǎng)絡(luò)安全方案
（1） 通過加密和認(rèn)證技術(shù)確保IVN消息幀的機(jī)密性和完整性。加密和認(rèn)證方法是保證消費(fèi)者網(wǎng)絡(luò)安全的有效方法。但是IVN環(huán)境要求實(shí)時(shí)性和可靠性，并受成本，計(jì)算能力，帶寬和存儲(chǔ)資源的約束。因此這些方法通常難以同時(shí)適用于IVN環(huán)境。例如，由于用于附加消息驗(yàn)證代碼的可用空間有限（用于CAN的8個(gè)字節(jié)和CAN-FD的64個(gè)字節(jié)），為CAN總線提供消息驗(yàn)證很困難。（2） 將潛在的攻擊接口 與車內(nèi)網(wǎng)絡(luò) （防火墻策略）分開鑒于汽車的生命周期長(zhǎng)和IVN的多個(gè)攻擊入口，通過防火墻完全隔離威脅和各種攻擊源是不切實(shí)際的。設(shè)計(jì)和實(shí)施完全安全的IVN系統(tǒng)非常困難。而且，即使為了安全目的電子系統(tǒng)的轉(zhuǎn)換和升級(jí),也都需要很長(zhǎng)時(shí)間。（3） 開發(fā)針對(duì)IVN的入侵檢測(cè)系統(tǒng)（IDS）車內(nèi)網(wǎng)絡(luò)IDS希望提供
- 具有時(shí)間保證的識(shí)別異常入侵的能力，
- 為入侵防御系統(tǒng)（IPS）提供準(zhǔn)確的參考信息
- 防止進(jìn)一步破壞IVN攻擊的能力（早期預(yù)警可以降低惡意攻擊者的風(fēng)險(xiǎn)）
2.1 IDS概念介紹
入侵檢測(cè)系統(tǒng)（Intrusion-detection system，IDS）是一種網(wǎng)絡(luò)安全設(shè)備或應(yīng)用軟件，可以監(jiān)控網(wǎng)絡(luò)傳輸或者系統(tǒng)，檢查是否有可疑活動(dòng)或者違反企業(yè)的安全策略。偵測(cè)到時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施。它與其他網(wǎng)絡(luò)安全設(shè)備的不同之處便在于，IDS是一種積極主動(dòng)的安全防護(hù)技術(shù)。IDS最早出現(xiàn)在1980年4月。該年，James P.Anderson為美國(guó)空軍做了一份題為《Computer Security Threat Monitoring and Surveillance》的技術(shù)報(bào)告，在其中他提出了IDS的概念。1980年代中期，IDS逐漸發(fā)展成為入侵檢測(cè)專家系統(tǒng)（IDES）。1990年，IDS分化為基于網(wǎng)絡(luò)的NIDS和基于主機(jī)的HIDS。后又出現(xiàn)分布式DIDS。
IDS可以根據(jù)其作用域劃分為不同的類別。IDS可根據(jù)需要進(jìn)行配置。
- 基于主機(jī)的IDS：監(jiān)視系統(tǒng)內(nèi)部活動(dòng)， 比如CPU 占用率，內(nèi)存占用率，系統(tǒng)調(diào)用順序，ECU 內(nèi)部通信檢測(cè)。
- 基于網(wǎng)絡(luò)的IDS：通過觀察網(wǎng)絡(luò)中主機(jī)之間的網(wǎng)絡(luò)流量來檢測(cè)異常行為和異常（從而監(jiān)視多個(gè)系統(tǒng)或組件）
- Ethernet、CAN/CAN-FD、FlexRay、LocalInterconnect Network(LIN)
- 混合IDS：是基于主機(jī)和基于網(wǎng)絡(luò)的IDS的組合。
基于主機(jī)的IDS和基于網(wǎng)絡(luò)的IDS既有優(yōu)點(diǎn)也有缺點(diǎn)，兩者都有好處?；旌螴DS使用最廣泛。 在聯(lián)網(wǎng)汽車的情況下，混合IDPS將更有利。
IDS使用不同的技術(shù)來識(shí)別異常行為。
- 基于簽名的檢測(cè)：這種方法監(jiān)視系統(tǒng)活動(dòng)并在流量中尋找靜態(tài)模式。IDS可以通過將其與已知惡意簽名的數(shù)據(jù)庫(kù)進(jìn)行匹配來查找異常。
- 基于行為的檢測(cè)：基于簽名的IDS可以很好地處理已經(jīng)確定或已知的威脅。為了彌補(bǔ)這一缺陷，基于行為的檢測(cè)技術(shù)，使用了基于網(wǎng)絡(luò)行為基線概念的集中處理過程。這里的挑戰(zhàn)是定義正常和異常的網(wǎng)絡(luò)行為需要耗費(fèi)大量的人力。隨著數(shù)據(jù)科學(xué)、大數(shù)據(jù)和機(jī)器學(xué)習(xí)的發(fā)展，自動(dòng)定義正常與異常行為過程的IDS解決方案可用于提高安全性。因此，利用大數(shù)據(jù)的基于機(jī)器學(xué)習(xí)的IDS是數(shù)據(jù)驅(qū)動(dòng)網(wǎng)絡(luò)安全的一個(gè)主要例子。
本文會(huì)在后面章節(jié)降到具體的IDS實(shí)現(xiàn)技術(shù)。
2.2 車內(nèi)IDS特點(diǎn)
如圖3所示，汽車電子系統(tǒng)根據(jù)不同的功能領(lǐng)域（例如動(dòng)力總成領(lǐng)域，娛樂領(lǐng)域和車身領(lǐng)域）分為幾個(gè)部分。不同的域是獨(dú)立的，并通過車載網(wǎng)關(guān)互連。不同域中交通消息的特征也有所不同，其中一些是信息密集型的，而另一些則對(duì)安全性至關(guān)重要?？梢愿鶕?jù)不同域的特征設(shè)計(jì)不同的安全監(jiān)控方案，以提高檢測(cè)精度。車內(nèi)IDS標(biāo)準(zhǔn)。上下文感知計(jì)算已被廣泛研究。由于無處不在的技術(shù)將上下文的概念擴(kuò)展到了物理世界，人們對(duì)該領(lǐng)域重新產(chǎn)生了興趣。同時(shí)隨著智能技術(shù)的發(fā)展，智能車輛系統(tǒng)將擁有眾多的智能傳感器，將數(shù)據(jù)和感知層的模式結(jié)合在一起，并將該層與安全監(jiān)控系統(tǒng)集成在一起，可以有效地減少誤算的可能性。例如如圖4所示，通過使用車速傳感器獲得車輛的當(dāng)前狀態(tài)和行為，并通過機(jī)器學(xué)習(xí)算法模擬車輛的正常行駛狀態(tài)，兩者進(jìn)行比較來確定攻擊狀態(tài)。圖4 車內(nèi)網(wǎng)絡(luò)的上下文感知入侵檢測(cè)示意圖
2.3 車內(nèi)IDS約束
目前，汽車ECU主要由32位嵌入式處理器（例如NXP，Infine和Renesas處理器），并具有十分有限的計(jì)算性能和內(nèi)存資源，因此IVNIDS的設(shè)計(jì)不需要考慮計(jì)算能力，內(nèi)存大小和通信能力的限制。
汽車電子系統(tǒng)是一種工業(yè)嵌入式系統(tǒng)。鑒于汽車的量產(chǎn)，降低硬件成本可以為公司提供額外的利潤(rùn)。一旦IVN IDS設(shè)計(jì)方法要求對(duì)所有ECU進(jìn)行硬件修改，汽車制造成本就會(huì)增加，OEM就很難愿意采用。因此，IVN IDS設(shè)計(jì)受成本約束。
汽車網(wǎng)絡(luò)系統(tǒng)負(fù)責(zé)車內(nèi)部件之間的通信，是功能安全關(guān)鍵的系統(tǒng)，IVN的入侵檢測(cè)應(yīng)滿足車輛的實(shí)時(shí)性和高精度要求。
IVN IDS旨在為汽車電子系統(tǒng)提供安全防御功能。IVN IDS是汽車電子系統(tǒng)的一部分，它需要提供功能安全保證并遵循ISO26262標(biāo)準(zhǔn)。
2.4 車內(nèi)IDS設(shè)計(jì)方法論
為了更清楚地描述IVN IDS設(shè)計(jì)的特點(diǎn), 使用圖5 IDS設(shè)計(jì)概要圖，從IDS設(shè)計(jì)角度需要考慮攻擊訪問來源之間的相關(guān)性,IVNs漏洞,攻擊的威脅,可推斷出的特征參數(shù)和IDS對(duì)策。 圖5 車內(nèi)網(wǎng)絡(luò)的IDS設(shè)計(jì)概覽
2.5 車內(nèi)IDS部署建議
下面這個(gè)圖來自Vector對(duì)IDS部署的建議，僅供參考
圖6 IDS部署建議示意
3. 車載網(wǎng)絡(luò)IDS實(shí)現(xiàn)技術(shù)近年來，汽車惡意攻擊的數(shù)量有所增加。因此車內(nèi)網(wǎng)絡(luò)安全問題已受到越來越多的關(guān)注。近年來，針對(duì)車內(nèi)網(wǎng)絡(luò)的入侵檢測(cè)技術(shù)進(jìn)行了大量研究。在本節(jié)中，將更詳細(xì)地說明這些不同的方法。我們將車內(nèi)網(wǎng)絡(luò)IDS可以分為以下幾類.
3.1 基于指紋（Figerprints-based）的IDS（總線級(jí)）
由于ECU的物理特性，車載網(wǎng)絡(luò)上不同的ECU通常都有獨(dú)特的硬件指紋信息，IVN安全研究人員試圖通過多種方式提取ECU的指紋信息(如基于時(shí)鐘的入侵檢測(cè)和基于電壓測(cè)量])。 根據(jù)ECU獨(dú)特電特性(即主導(dǎo)部分、正斜率部分和負(fù) 斜率 部分)，可以建立合法和非法訪問ECU的指紋信息。例如，Cho和Shin提出了一種名為Viden的方法，該方法基于電壓測(cè)量[1]對(duì)ecu進(jìn)行指紋識(shí)別。通過ACK學(xué)習(xí)階段，Viden僅從消息發(fā)射機(jī)獲得正確的電壓測(cè)量值，并利用它們來構(gòu)建和更新正確的電壓輪廓或指紋。該方法能夠快速、準(zhǔn)確地檢測(cè)出非法接入節(jié)點(diǎn)。但該方法僅適用于物理層，對(duì)應(yīng)用層的網(wǎng)絡(luò)攻擊的檢測(cè)并不有效。Choi等人在[2]中提出了一種基于CAN電信號(hào)的不可模仿特性的新型IVN IDS (VoltageIDS)。在行駛車輛和空轉(zhuǎn)車輛上的評(píng)估實(shí)驗(yàn)表明，該方法具有檢測(cè)總線攻擊的能力。 獲得網(wǎng)絡(luò)指紋特征后，IVN IDS的下一步是要解決分類問題。 指紋的IVN IDS是一種綜合策略，所使用的技術(shù)還將結(jié)合機(jī)器學(xué)習(xí)方法。 例如許多機(jī)器學(xué)習(xí)方法在特征提取和分類階段都有其獨(dú)特的優(yōu)勢(shì)。
3.2 基于參數(shù)監(jiān)控IDS（消息級(jí)別）
通過觀察和比較網(wǎng)絡(luò)參數(shù)可以發(fā)現(xiàn)一些攻擊。這些基于參數(shù)監(jiān)控的入侵檢測(cè)方法包括以下內(nèi)容。
- 基于頻率的技術(shù)Frequency-based Techniques
如圖7所示，通過車內(nèi)網(wǎng)絡(luò)發(fā)送的消息幀通常具有固定的周期。例如，可以檢測(cè)CAN消息的傳輸間隔并將其與已建立的基線進(jìn)行比較，這類似于基于統(tǒng)計(jì)的異常檢測(cè)方法。車內(nèi)網(wǎng)絡(luò)安全研究人員表明，當(dāng)惡意攻擊者通過注入合法消息進(jìn)行欺騙或DoS攻擊時(shí)，頻率將會(huì)增加。這種檢測(cè)方法可能具有較高的準(zhǔn)確性和較低的誤報(bào)率，但僅適用于周期性流量。當(dāng)周期超過閾值時(shí)，系統(tǒng)將發(fā)出異常狀態(tài)警報(bào)并存儲(chǔ)日志。發(fā)生攻擊時(shí)，將更改消息的固定時(shí)間段，此功能用于入侵檢測(cè)。
如圖8所示，當(dāng)CAN總線上的節(jié)點(diǎn)接收到遠(yuǎn)程幀時(shí)，它需要向發(fā)送方發(fā)送一條消息進(jìn)行響應(yīng)。響應(yīng)幀的偏移率可以反映可疑活動(dòng)。比如通過基于請(qǐng)求消息和響應(yīng)消息之間的偏移率和時(shí)間間隔來測(cè)量現(xiàn)有節(jié)點(diǎn)的響應(yīng)性能來發(fā)現(xiàn)異常行為。在CAN總線中，當(dāng)目標(biāo)節(jié)點(diǎn)接收到遠(yuǎn)程幀時(shí)，數(shù)據(jù)幀將返回到發(fā)送節(jié)點(diǎn)，并且返回時(shí)間的度量可用于確定網(wǎng)絡(luò)是否處于攻擊狀態(tài)。圖9顯示了如何獨(dú)立于IVN數(shù)據(jù)序列處理時(shí)間/頻率特征。從圖中可以將車內(nèi)網(wǎng)絡(luò)IDS技術(shù)分為觀察數(shù)據(jù)流和序列。針對(duì)車內(nèi)網(wǎng)絡(luò)數(shù)據(jù)流級(jí)攻擊的響應(yīng)，基于參數(shù)檢測(cè)的入侵檢測(cè)方法具有較好的檢測(cè)精度和較低的性能開銷。
圖9.時(shí)間/頻率特征的檢測(cè)與數(shù)據(jù)流獨(dú)立處理（并發(fā)）基于參數(shù)監(jiān)控的方法對(duì)于未知的安全威脅可能無效，并且參數(shù)可能在不同的車輛網(wǎng)絡(luò)中有所不同。隨著IVN繼續(xù)集成到外部網(wǎng)絡(luò)中，對(duì)汽車的攻擊將顯示出越來越大的不確定性和復(fù)雜性。3.3 基于信息論（Information-Theoretic-based）IDS（數(shù)據(jù)流級(jí)別）使用基于信息理論的度量是IVN環(huán)境中無監(jiān)督的異常檢測(cè)設(shè)計(jì)的另一種方法。具體來說，每個(gè)ECU的內(nèi)部通信通常是有序的。因此系統(tǒng)的信息熵應(yīng)該相對(duì)穩(wěn)定。正常通信中注入大量惡意消息會(huì)影響網(wǎng)絡(luò)的穩(wěn)定性，信息熵會(huì)反映出異常情況。 CAN消息被認(rèn)為具有低熵，平均為11.436位。基于CAN網(wǎng)絡(luò)的特征建立信息熵分析模型對(duì)于檢測(cè)汽車網(wǎng)絡(luò)的信息熵是必要的。我們使用Shannon熵定義來計(jì)算消息ID的熵。 假設(shè)系統(tǒng)X的有限可能狀態(tài)集為{x1，x2，……xN}。 則系統(tǒng)X的信息熵為：其中p（xi）是系統(tǒng)X在狀態(tài)xi下的概率。為了評(píng)估CAN ID的信息熵，可以用φ=（I，C，T）表示CAN系統(tǒng)模型，其中I = {i1，i2，i3，...，in}是在時(shí)間T內(nèi)出現(xiàn)的一組不同的ID，并且C = {c1，c2，c3，...，cn}是在時(shí)間T內(nèi)出現(xiàn)的n個(gè)不同ID的周期或最小間隔的集合。 隨后，可以將周期T中的CAN ID的熵函數(shù)表示為目前學(xué)術(shù)界已經(jīng)建立了一些基于熵的方法，并在實(shí)踐中進(jìn)行了測(cè)試以檢測(cè)攻擊。車載網(wǎng)絡(luò)的基于熵的攻擊檢測(cè)，對(duì)于檢測(cè)DoS攻擊非常有效。但是，由少量惡意攻擊者注入的少量惡意消息難以識(shí)別文獻(xiàn)[3]提出一種基于固定信息數(shù)目的信息熵的滑動(dòng)窗口策略，有效地解決了基于信息熵的非周期性CAN消息的IDS性能問題。Dario[4]等提出了一種用于監(jiān)測(cè)IVN狀況的漢明距離測(cè)量方法，并在檢測(cè)對(duì)CAN的攻擊方面獲得了良好的結(jié)果。該方法的主要特點(diǎn)是計(jì)算開銷小，缺點(diǎn)是攻擊模型受到限制（不適用于重放攻擊）。值得注意的是，基于信息熵的入侵檢測(cè)方法在修改CAN數(shù)據(jù)字段內(nèi)容的攻擊檢測(cè)中無效。
3.4 基于機(jī)器學(xué)習(xí) IDS（功能級(jí)別）
機(jī)器學(xué)習(xí)算法作為一種強(qiáng)大的數(shù)學(xué)工具在計(jì)算機(jī)和人工智能領(lǐng)域得到了廣泛的應(yīng)用，在分類、回歸和聚類方面都有很好的效果;因此，他們可以在不同級(jí)別的IVN上開發(fā)安全解決方案。它們特別適合防御未來未知的攻擊。在本節(jié)中，我們將回顧基于機(jī)器學(xué)習(xí)的IVN IDSs。從以下三個(gè)方面詳細(xì)介紹。
- 基于分類技術(shù) Classification-based Techniques
分類算法作為一種強(qiáng)大的安全解決方案已被廣泛使用。車內(nèi)網(wǎng)絡(luò)的入侵檢測(cè)可以設(shè)計(jì)一個(gè)分類算法來學(xué)習(xí)網(wǎng)絡(luò)流量的正常行為，任何偏離該行為的行為都將被識(shí)別為CAN總線的異常行為。如圖10所示，該方案主要包括離線訓(xùn)練和在線檢測(cè)兩個(gè)階段。在訓(xùn)練階段，訓(xùn)練數(shù)據(jù)集的選擇和標(biāo)記是很重要的。圖10 車內(nèi)網(wǎng)絡(luò) IDS的機(jī)器學(xué)習(xí)方法。
為了開發(fā)基于 異常的車內(nèi)網(wǎng)絡(luò) IDS， 在IVN中采用深度學(xué)習(xí)和神經(jīng)網(wǎng)絡(luò)。Kang和Kang提出了一種基于DNN[5]的入侵檢測(cè)技術(shù)。在該技術(shù)中，對(duì)ECU之間交換的IVN數(shù)據(jù)包進(jìn)行訓(xùn)練，提取低維特征，用于區(qū)分正常數(shù)據(jù)包和黑客數(shù)據(jù)包。Taylor等人提出了一種基于長(zhǎng)短期記憶(long -term memory,LSTM)循環(huán)神經(jīng)網(wǎng)絡(luò)(recurrent neural network, RNN)的異常檢測(cè)器，用于檢測(cè)低誤報(bào)率的攻擊[6]。入侵檢測(cè)采用基于神經(jīng)網(wǎng)絡(luò)的下一個(gè)數(shù)據(jù)包數(shù)據(jù)預(yù)測(cè);因此，不需要了解特定的協(xié)議。圖10展示了用于IVN入侵檢測(cè)的神經(jīng)網(wǎng)絡(luò)的三層結(jié)構(gòu)。其中，常規(guī)的神經(jīng)網(wǎng)絡(luò)模型的區(qū)別主要是輸入層和輸出層，其中的輸入特征可以是CAN據(jù)場(chǎng)的比特，也可以是從can總線物理層中提取的信號(hào)特征。輸出層輸出正常和異常結(jié)果。圖10 用于IVN入侵檢測(cè)的深度神經(jīng)網(wǎng)絡(luò)（DNN）架構(gòu)。
- 順序技術(shù) Sequential Techniques
從ECU發(fā)送的消息順序可用于異常檢測(cè)。來自ECU的CAN消息應(yīng)視為特定順序。它們將根據(jù)消息的優(yōu)先級(jí)一個(gè)接一個(gè)地發(fā)送，任何與該順序的偏差都可以標(biāo)記出來。Narayanan等開發(fā)了一個(gè)隱馬爾可夫模型（HMM），以從車輛收集的實(shí)際數(shù)據(jù)中檢測(cè)異常狀態(tài)[7]。Marchetti和Stabili提出了一種基于CAN總線中觀察到的消息ID序列內(nèi)的特定特征和循環(huán)模式建立CAN總線正常行為模型的算法，這是第一個(gè)算法基于CAN總線上的消息序列分析[8]。與消費(fèi)者網(wǎng)絡(luò)的IDS相比，車內(nèi)網(wǎng)絡(luò)IDS需要更高的可靠性和確定性。因此， 車內(nèi)網(wǎng)絡(luò)I DS更喜歡監(jiān)督式機(jī)器學(xué)習(xí)方法。惡意對(duì)手的攻擊將在車內(nèi)網(wǎng)絡(luò)的不同層上生成異常功能，并且其中大多數(shù)可用于基于機(jī)器學(xué)習(xí)的IDS。
- 域感知車內(nèi)網(wǎng)絡(luò) IDS
Markovitz和Wool[9]，描述了一種用于CAN總線網(wǎng)絡(luò)流量的域感知異常檢測(cè)系統(tǒng)。CAN總線消息格式是專有的，非公開的文檔。然而，作者開發(fā)了一個(gè)分類器，自動(dòng)識(shí)別這些領(lǐng)域的邊界和類型。異常檢測(cè)系統(tǒng)在現(xiàn)場(chǎng)分類的基礎(chǔ)上建立了正常信息的模型。在[10]中，Markovitz和Wool描述了一種新的針對(duì)車載CAN總線交通的域感知異常檢測(cè)系統(tǒng)。開發(fā)了一種貪婪算法，將消息分割成字段，并將字段按照觀察到的類型進(jìn)行分類。此外，針對(duì)CAN總線流量設(shè)計(jì)了一個(gè)語(yǔ)義感知的異常檢測(cè)系統(tǒng)。在實(shí)際CAN總線流量上進(jìn)行的實(shí)驗(yàn)表明，該算法的中位數(shù)假陽(yáng)性率為0%，平均為252個(gè)三元內(nèi)容尋址內(nèi)存。
Wasicek等[11]，描述了上下文感知的入侵檢測(cè)系統(tǒng)(CAID)和框架，用于檢測(cè)汽車控制系統(tǒng)中的操作。CAID利用傳感器信息建立物理系統(tǒng)的參考模型，然后根據(jù)參考模型檢查當(dāng)前傳感器數(shù)據(jù)的正確性。Muter等人[72]開發(fā)了一種基于傳感器的檢測(cè)方法，可以通過使用為網(wǎng)絡(luò)攻擊場(chǎng)景設(shè)計(jì)的多個(gè)傳感器識(shí)別惡意入侵。在[12]中，Cho等人使用CarSim獲得了滑差率和歸一化牽引力的真實(shí)傳感器讀數(shù)。CarSim是一款高保真商業(yè)軟件，可以根據(jù)司機(jī)的控制來預(yù)測(cè)汽車的性能。利用輪胎摩擦模型可以檢測(cè)到與制動(dòng)相關(guān)的傳感器的異常測(cè)量。許多設(shè)計(jì)研究表明， 車內(nèi)網(wǎng)絡(luò)I DS需要與汽車電子系統(tǒng)的特征相結(jié)合。從系統(tǒng)角度（具有域和上下文感知）設(shè) 計(jì)車內(nèi)網(wǎng)絡(luò)I DS不僅可以有效改善IDS的效果（檢測(cè)準(zhǔn)確性和響應(yīng)時(shí)間），而且可以有效地改善其市場(chǎng)兼容性.
3.6 總結(jié)
按照慣例，圖譜必不可少，下面給出了車內(nèi)網(wǎng)絡(luò)IDS的主要技術(shù)的圖譜
下一期預(yù)告：本期主要是對(duì)車內(nèi)網(wǎng)絡(luò)IDS進(jìn)行相對(duì)全面和概要性的介紹，重在了解IDS的基本概念，下一期，我們將針對(duì)智能車IDS標(biāo)準(zhǔn)（AutoSAR IDS）和市場(chǎng)上主要的IDS方案對(duì)其能力和特點(diǎn)進(jìn)行介紹.
[1] K. G. Shin and K.-T. Cho, “Viden:Attacker identification on in-vehicle networks,” in Proc. ACM SIGSAC Conf. Comput. Commun. Secur., Dallas, TX, USA, Oct./Nov. 2017, pp.1109–1123. doi: 10.1145/3133956.3134001.[2] W. Choi,K. Joo, H. J. Jo, M. C. Park, and D. H. Dong, “VoltageIDS: Low-levelcommunication characteristics for automotive intrusion detection system,” IEEE Trans. Inf. Forensics Security, vol. 13, no. 8, pp. 2114–2129, Aug. 2018. [54] M. L.Han, L. Jin, A. R. Kang,[3] W. Wu et al., “Slidingwindow optimized information entropy analysis method for intrusion detection onin-vehicle networks,” IEEEAccess, vol. 6, pp. 45233–45245, 2018.[4] D.Stabili, M. Marchetti, and M. Colajanni, “Detecting attacks to internal vehiclenetworks through hamming distance,” in Proc. AEIT Int. Annu. Conf., Aug. 2017, pp. 1–6.[5] M.-J.Kang and J.-W. Kang, “A novel intrusion detection method using deep neuralnetwork for in-vehicle network security,” in Proc. IEEE 83rd Veh. Technol. Conf. (VTC Spring), May 2016, pp. 1–5.[6]A. Taylor,S. Leblanc, and N. Japkowicz, “Anomaly detection in automobile control networkdata with long short-term memory networks,” in Proc. IEEE Int. Conf. Data Sci. Advanced Anal. (DSAA),Oct. 2016, pp. 130–139.[7] S. N. Narayanan, S. Mittal, and A. Joshi. (2015).“Using data analytics to detect anomalous states in vehicles.” [Online].Available: https://arxiv.org/abs/1512.08048[8] M. Marchetti and D. Stabili, “Anomaly detection ofCAN bus messages through analysis of ID sequencess,” in Proc. IEEE Intell. Vehicles Symp. (IV), Jun. 2017, pp. 1577–1583.[9] M. Markovitz and A. Wool, “Field classification,modeling and anomaly detection in unknown CAN bus networks,” Veh. Commun., vol. 9,Jul. 2017, pp. 43–52.[10] M. Markovitz and A. Wool, “Field classification,modeling and anomaly detection in unknown CAN bus networkss,” Veh. Commun., vol. 9,pp. 43–52, Jul. 2017.[11] A. R.Wasicek, M. D. Pesé, A.Weimerskirch, Y.Burakova, and K. Singh, “Context-aware intrusion detection in automotivecontrol systems,” in Proc. 5thESCAR USA Conf., Jun. 2017, pp. 21–22.[12] K.-T. Cho, K. G. Shin, and T. Park, “CPS approach tochecking norm operation of a brake-by-wire system,” in Proc. ACM/IEEE 6th Int. Conf. Cyber-Phys. Syst., Apr. 2015, pp. 41–50.
廣告
廣告 
