CN103873319B - 用于检测车内网络攻击的装置与方法 - Google Patents

Abstract

本发明涉及用于检测车内网络攻击的装置与方法，该装置被配置为对具有各自的ID并且连接至车内网络总线的各个设备的包进行累积计数。该装置被配置为每当对包进行累积计数时都累积检查值以计算累计值，并且当通过将累计值除以累积计数值所获得的平均累计值不超过第一阈值时确定发生攻击。

Description

用于检测车内网络攻击的装置与方法

相关申请的交叉引用

本申请基于并要求于2012年12月12日向韩国知识产权局提交的韩国专利申请第10-2012-0144900号的优先权，将其全部内容通过引用结合于此。

技术领域

本发明构思涉及用于检测车内网络攻击的装置和方法，更具体地，涉及用于提前检测对车内网络的外部任意攻击的装置和方法。

背景技术

通常地，由于车内网络独立于外部网络运行，所以没有用于保护车内网络信息的设备。

近来，由于车内网络可被连接到外部网络（如无线通讯网络（3G/4G）、蓝牙等），并被连接到汽车诊断装置，所以汽车网络很有可能受到不良的影响。即，当外部网络的恶意攻击者侵扰内部网络时，汽车操作就会发生严重问题，可能威胁到乘客的安全。

同时，具有相同IP地址的互联网包的特性（包尺寸、延迟时间、发生频率等）随着时间推移发生变化，并且这些包还具有不规则和随机特性。因此，检测网络攻击的技术通常基于每单位时间所接受的包数目来判定是否发生攻击。

另一方面，车内网络产生的流量对于每个ID具有不同的包生成频率，但是每个ID的流量都是较有规律地生成的。在这种情况下，当两个包同时被生成时，基于优先级确定发送顺序。

因此，当具有ID的包高速生成时，仅通过基于每单位时间接收的包数目的分析，可能无法检测将优先级高于该ID的包注入频率与具有该ID的包的生成频率相似的网络中的攻击。

即，由于具有较高优先级的攻击的ID、而不是具有较低优先级的普通ID被注入网络，所以攻击可能无法仅通过对包数目计数的方法而检测出来。

因此，需要一种适用于汽车流量的流量分析方法，这种方法不同于用于互联网入侵检测的方法。

发明内容

因此，进行本发明构思是为了在完整保留现有技术所实现的优点的同时解决现有技术中发生的上述问题。

本发明构思的一方面涉及一种用于检测车内网络攻击的装置和方法，其对被连接至车内网络总线的每个设备（ID）的包进行累积计数，每当对包进行累积计数时都累积检查值S以计算累计值，并且当通过将累计值除以累积计数所获得的平均累计值不超过第一阈值时确定发生攻击。

本发明构思的另一方面包括一种用于检测车内网络攻击的装置和方法，其对被连接至车内网络总线的装置（ID）中包括在预定优先级范围中的每个设备（ID）的包进行累积计数，每当对包进行累积计数时都累积检查值S以计算累计值，并且当通过将累计值除以累积计数所获得的平均累计值不超过第三阈值时确定发生攻击。

本发明构思的一方面涉及一种用于检测在对于包发送具有定义的优先级的设备连接至车内网络总线的车内网络环境下的车内网络攻击的装置。该装置包括：包收集器，被配置为收集经由车内网络总线传送的包；包计数器，被配置为对由包收集器收集的包数目进行累积计数；检查值计算器，被配置为基于具有相同ID的包的生成时间差异计算检查值；累计值计算器，被配置为通过将由检查值计算器计算出的检查值与前一个计算出的检查值相加来计算累计值；平均累计值计算器，被配置为通过将由累计值计算器计算出的累计值除以由包计数器累积计数的值来计算平均累计值；以及攻击确定器，被配置为基于由平均累计值计算器计算出的平均累计值确定是否发生攻击。

本发明构思的另一方面包括一种用于检测在对于包发送具有定义的优先级的设备连接至车内网络总线的车内网络环境下的车内网络攻击的方法。根据该方法，由包收集器收集经由车内网络总线传送的包。由包计数器对收集的包数目进行累积计数。由检查值计算器基于具有相同ID的包的生成时间差异计算检查值。由累计值计算器通过将计算出的检查值与前一个计算出的检查值相加来计算累计值。由平均累计值计算器通过将计算出的累计值除以累积计数的值来计算平均累计值；由攻击确定器基于计算出的平均累计值确定是否发生攻击。

附图说明

本发明构思的上述及其他特征可以从如附图所示的本发明构思的实施方式的更详细的说明而显而易见，在这些附图中，相似的参考标号可指所有不同示图中的相同或相似部分。附图不一定成比例绘制，而是将重点放在图示本发明构思的实施方式的原理上。

图1是示出了根据本发明构思的示例性实施方式的用于检测车内网络攻击的装置的结构图。

图2A是示出了应用本发明构思的车内网络总线的实例的示图。

图2B是示出了应用本发明构思的车内网络总线的另一实例的示图。

图3是示出了根据本发明构思的另一示例性实施方式的用于检测车内网络攻击的原理的示图。

图4是根据本发明构思的又一示例性实施方式的用于检测车内网络攻击的方法的流程图。

具体实施方式

本发明构思的上述及其他特征可以从如附图所示的本发明构思的实施方式的更详细的说明而显而易见，在这些附图中，相似的参考标号可指所有不同示图中的相同或相似部分。附图不一定成比例绘制，而是将重点放在图示本发明构思的实施方式的原理上。

在下文中，将参照附图对本发明构思的示例性实施方式进行详细描述。

图1是示出了根据本发明构思的示例性实施方式用于检测车内网络攻击装置的实例的结构图。

如图1所示，根据本发明构思的示例性实施方式的用于检测车内网络攻击的装置100包括：包收集器10、包计数器20、检查值计算器30、累计值计算器40、平均累计值计算器50、攻击确定器60和控制器70。

如图2A所示，包括上述部件的用于检测车内网络攻击的装置（ADS：攻击检测系统）可通过车内网络的网关实现。如图2B所示，ADS也可以作为连接到车内网络总线的单独的装置来实现。

以下阐述每个部件：包收集器10首先可收集经由车内网络总线传送的包。在此情况下，连接至车内网络的每个装置（ECU：电子控制单元）可被分配唯一的ID，并且每个装置都可以将插入有其自己的ID的包发送到车内网络。

然后，包计数器20可对由包控制器10收集的包数目进行累积计数。即，包计数器20可将由包收集器收集的包归类至各个ID，然后对各个ID的包数目进行累积计数。

此外，包计数器20可在控制器70的控制下，将由包收集器10收集的包归类至各个ID，然后为各个ID对具有预定优先级的ID的包进行累积计数。

接着，检查值计算器30可基于当前时间tc和前一次生成相应ID的包的时间t_ID之间的差异生成检查值S。即，检查值计算器30使用以下等式1计算检查值S。

[等式1]

S=log₂(t_c-t_ID)

检查值计算器30可更新为每个ID生成包的时间。

然后，累计值计算器40通过将由检查值计算器30计算出的检查值与前一个计算出的检查值相加来计算累计值A=A+S。在此，A表示累计值。

接着，平均累计值计算器50可通过将由累计值计算器30计算出的累计值除以由包计数器20计数的值（相应ID的累积包数目）来计算到平均累计值。

然后，当由平均累计值计算器50计算出的平均累计值不超过阈值时，攻击确定器60可判定发生攻击。

同时，控制器70可控制每个部件。特别地，控制器70可根据用于检测车内网络攻击的策略来单独控制各个部件。

例如，当检测是否针对连接至车内网络总线的所有装置中的每一个进行攻击时，控制器70可执行相应的控制功能。

作为另一个实例，当检测是否针对连接至车内网络总线的装置中包括在预定优先级范围中的各个装置进行攻击时，控制器70可执行相应的控制功能。

根据本发明构思的示例性实施方式，累计值通过计算前一次生成具有特定ID的包的时间和当前再次生成包的时间之间的差异的对数来累计。

换言之，相同ID的包的生成之间的时间差与生成相应ID的包的概率值密切相关。即，具有高生成频率的ID（具有高生成概率的ID）具有短时间差，而具有低生成频率的ID（具有低生成概率的ID）具有长时间差。

由于具有高生成频率的ID具有短时间差，所以可频繁加上小的值。另一方面，由于具有低生成频率的ID具有长时间差，所以很少加上大的值。

当这些数值被累计并被相应ID的包生成的总发生数目所除时，可获得平均期望值（下文中的平均累计值），并且基于该获得的平均期望值可判定是否发生外部攻击。

在下文中，将参考图3来描述使用于检测车内网络攻击的装置检测针对车内网络的外部攻击的原理。

如图3所示，作为正常流量，假设具有ID=2的包每2ms被生成。在这种情况下，假设作为优先级攻击的外部攻击者对应于正常流量的生成周期，注入优先级比具有ID=2的包更高的具有ID=1的包，从而阻碍了具有ID=2的正常包的发送。

在这种情况下，由于所有包的总数目是8，所以当仅使用传统的检查包数目的方法时，可能无法了解是否发生攻击。

但是，本发明构思的示例性实施方式可在平均累计值中产生以下差异，以判定针对车内网络的攻击是否发生。

在正常流量的情况下，平均累计值为(log₂10^-3+7×log₂2×10^-3)/8=-9.09。

另一方面，在优先级攻击的情况下，平均累计值为(log₂10^-3+log₂3×10^-3+5×log₂2×10^-3+log₂14×10^-3)/8=-8.67。

图4是示出了根据本发明构思的示例性实施方式的用于检测车内网络攻击的方法的流程图。

首先，包收集器10可收集经由车内网络总线（401）传送的包。

然后，包计数器20可对由包控制器10收集的包数目进行累积计数（402）。在这种情况下，包计数器20可将包收集器10收集的包归类至各个ID，然后为各个ID对包数量进行累积计数。包计数器20可将包收集器10收集的包归类至各个ID，然后为各个ID对具有预定优先级的ID的包进行累积计数。

下一步，检查值计算器30可基于相同ID的包的生成时间差异来计算检查值（403）。

然后，累计值计算器40通过将由检查值计算器30计算出的检查值与前一个计算出的检查值相加来计算累计值（404）。

接着，平均累计值计算器50可通过将由累计值计算器40计算的累计值除以累积计数的值来计算平均累计值（405）。

然后，攻击确定器60可基于由平均累计值计算器50计算出的平均累计值判定是否发生攻击（406）。每当生成一个包时、即每当对一个包进行计数时，执行该处理一次，以确定是否针对车内网络发生了攻击。

如上文所述，根据本发明构思的示例性实施方式，通过提前检测针对车内网络总线的外部攻击，可以预先阻止由于故意发生的汽车故障而阻碍汽车正常操作的企图。

进一步地，根据本发明构思的示例性实施方式，通过检测外部攻击就可以将车内通信负载最小化，而不向车内网络总线注入额外数据。

另外，根据本发明构思的示例性实施方式，通过提前检测分析车内通信的企图（例如，基于注入随机包的分析企图），就可以阻止额外攻击的可能性。

尽管已参考有限的示例性实施方式和附图描述了本发明构思，但本发明构思并不限于此，并且对于本领域技术人员来说，在本发明构思的要旨及所附权利要求内，可做出各种变化和修改。

附图中各个元件的符号

10：包收集单元

20：包计数单元

30：检查值计算单元

60：攻击确定单元

50：平均累计值计算单元

40：累计值计算单元

70：控制单元

100：ADS

401：收集经由车内网络总线传输的包

402：对收集的包数目进行累积计数

403：基于相同ID的包的生成时间差异计算检查值

404：通过将所计算出的检查值和前一个计算出的检查值相加来计算累计值

405：通过将所计算出的累计值除以累积计数的值来计算平均累计值

406：基于计算出的平均累计值确定是否发生攻击

Claims (10)

1.一种用于检测在对于包发送具有定义的优先级的设备连接至车内网络总线的车内网络环境下的车内网络攻击的装置，所述装置包括：

包收集器，被配置为收集经由所述车内网络总线传送的包；

包计数器，被配置为对由所述包收集器收集的包数目进行累积计数；

检查值计算器，被配置为基于具有相同ID的包的生成时间差异计算检查值；

累计值计算器，被配置为通过将由所述检查值计算器计算出的检查值与前一个计算出的检查值相加来计算累计值；

平均累计值计算器，被配置为通过将由所述累计值计算器计算出的所述累计值除以由所述包计数器累积计数的值来计算平均累计值；以及

攻击确定器，被配置为基于由所述平均累计值计算器计算出的所述平均累计值确定是否发生攻击，

其中，所述包计数器被配置为将由所述包收集器收集的包归类至各个ID，然后为各个ID对包数目进行累积计数。

2.根据权利要求1所述的装置，其中，所述攻击确定器被配置为在所述平均累计值不超过阈值时确定发生攻击。

3.根据权利要求1所述的装置，其中，所述包计数器被配置为将由所述包收集器收集的包归类至各个ID，然后为各个ID对具有预定优先级的ID的包进行累积计数。

4.根据权利要求1所述的装置，其中，所述检查值计算器被配置为基于当前时间t_C和前一次生成具有相同ID的包的时间t_ID之间的差异生成所述检查值。

5.根据权利要求4所述的装置，其中，所述检查值计算器被配置为使用以下等式来计算检查值S：

S＝log₂(t_C-t_ID)。

6.一种用于检测在对于包发送具有定义的优先级的设备连接至车内网络总线的车内网络环境下的车内网络攻击的方法，所述方法包括：

通过包收集器收集经由所述车内网络总线传送的包；

由包计数器对收集的包数目进行累积计数；

由检查值计算器基于具有相同ID的包的生成时间差异计算检查值；

由累计值计算器通过将计算出的所述检查值与前一个计算出的检查值相加来计算累计值；

由平均累计值计算器通过将计算出的所述累计值除以累积计数的值来计算平均累计值；以及

通过攻击确定器基于计算出的所述平均累计值确定是否发生攻击，

其中，在对包进行计数时，由所述包收集器收集的包被归类至各个ID，然后为各个ID对包数目进行累积计数。

7.根据权利要求6所述的方法，其中，在确定是否发生攻击时，在所述平均累计值不超过阈值时确定发生攻击。

8.根据权利要求6所述的方法，其中，在对包进行计数时，由所述包收集器收集的包被归类至各个ID，然后为各个ID对具有预定优先级的ID的包进行累积计数。

9.根据权利要求6所述的方法，其中，在计算检查值时，基于当前时间t_C和前一次生成相同ID的包的时间t_ID之间的差异生成所述检查值。

10.根据权利要求9所述的方法，其中，在计算检查值时，使用以下等式来计算检查值S：

S＝log₂(t_c-t_ID)。