CN108965234B - 用于保护网络防止网络攻击的方法 - Google Patents

Abstract

本发明提出一种用于保护网络防止网络攻击的方法，其中经由网络传输路段上的不同的电平在网络中传输消息的位或位序列。对于消息在网络中的第一传输，确定不同电平中的至少一个电平的至少一个持续时间。该至少一个持续时间或从中推导出的数值与至少一个预先确定的数值比较，并且根据比较识别对网络的网络攻击，或者在网络中定位对网络的网络攻击。

Description

用于保护网络防止网络攻击的方法

技术领域

提出用于保护网络防止网络攻击的方法，对此所设立的网络参与者以及对此所设立的计算机程序。

背景技术

从WO2012159940A2中已知一种方法，所述方法考虑将指纹用于表征车辆网络，以便能够用于确定车辆网络的操纵。指纹在此尤其从网络配置中获得。

EP2433457B1描述一种用于车辆的安全系统以及用于入侵识别（入侵探测）的方法以及如果确定相应的网络攻击，进行反应的措施。

发明内容

提出方法，借助所述方法通过如下方式提高网络的保护：能够根据在网络中的传输识别对网络的网络攻击，或者能够定位识别到的攻击。对此，作为特征，将传输的位长或电平持续时间与至少一个预先确定的值或指纹比较。指纹在此尤其起源于确定的网络参与者的传输的之前确定的特征性的位长或电平持续时间。根据比较，可以识别消息的来源进而（必要时结合其他特性）识别网络攻击或者定位识别到的网络攻击。定位优选针对网络参与者、网络区段或网络的传输路段来进行。

网络或网络的参与者被设立用于通过如下方式执行所描述的方法：它们具有电子存储资源和计算资源来执行相应的方法的步骤。在这种参与者的存储介质上或在网络的分布的存储资源上也能够存储计算机程序，所述计算机程序被设立用于：当在参与者中或在网络中处理方法时，执行相应的方法的全部步骤。

所提出的方法通过定位对网络的网络攻击的攻击点实现更有针对性地对攻击做出反应。如果根据模型（例如包括学习算法，神经网络，随机模型或基于数据或基于自动机的模型）从传输的适当的特征中确定所考虑的指纹，那么可以特别可靠地且鲁棒地设计该方法。

作为所提出的方法的其他优点，对此不需要附加传输的数据，由此也不存在对于网络的实时要求的负面影响。网络之外的攻击者不能够改变传输的物理特征，因为所述物理特征从网络和其部件的硬件特性中产生进而不可触及较高的软件层。

在优选的设计方案中，传输的所考虑的特征起源于网络的物理特性，网络的传输介质或传输信道、如线缆、耦合网络、滤波电路或连接点、参与者硬件、尤其收发器或微控制器的物理特性、网络的拓扑的物理特性或网络终端的或终端电阻的物理特性等。

在方法的一个尤其优选的设计方案中，在识别到操纵的情况下，有针对性地针对定位的网络参与者、定位的网络区段或针对网络的定位的传输路段执行错误处理。对此，定位的网络参与者、定位的网络区段或定位的传输路段尤其能够在网络中在功能上受到限制或去激活，经由去激活的网关从网络中排除或者不传输或丢弃来自所述定位的网络参与者、定位的网络区段或定位的传输路段的消息。

通过有针对性的电路技术或硬件选择或网络部件的操纵，也能够将所考虑的特征引入到网络中，或者在网络中放大。由此能够进一步提高识别的可靠性和攻击点的定位。

附图说明

下面，参考附图和借助实施例详细描述本发明。在此：

图1示意地示出具有多个网络参与者的示例性的网络，

图2示出用于保护网络防止网络攻击的示例性的方法的示意流程图，

图3示出不同网络参与者的示例性的位长或电平持续时间。

具体实施方式

本发明涉及一种用于通过识别攻击或定位网络中的这种网络攻击的攻击点来保护网络防止网络攻击的方法。

网络、（通常并且特定）车辆中的网络防止网络攻击的安全性愈发重要。刚好对于联网的且自动化的车辆而言，这种攻击是关键的。研究人员能够示范对车辆控制设备成功进行远程攻击。由此攻击者可以通过将消息经由成功攻击的控制设备录入到车辆网络中的方式，来接管车辆中的控制功能。

一方面，重要的是：识别对网络的攻击，并且辨认由此录入的有害的消息。另一方面，同样重要的是：辨认出攻击的源头、即被攻击的网络参与者或至少辨认出被攻击的网络区段，以便必要时能够采取有针对性的应对措施。如果将消息辨认为是恶意的，那么现在应根据消息传输的特征识别出：消息来自哪个网络参与者或者出自哪个网络区段。

对此，在网络中确定消息传输的相应的电平持续时间或位长，并且将其与相应的预先确定的数值进行比较。所述预先确定的数值优选对应于针对确定网络参与者特征性的位长或电平持续时间，例如网络参与者或从中推导出的数值的位长或电平持续时间。位长或电平持续时间例如由于参与者（例如收发器或微控制器）的硬件特性的波动或由于网络拓扑（结构，以及线缆，连接元件，终端电阻等）的静态影响而是特征性的。通过比较能够确定网络中的消息的来源并且（可能结合消息的其他特性）确定网络攻击或者在网络中定位识别到的网络攻击。对于远距离的攻击者，与包括发送者地址等的消息内容完全相反，几乎不可能有针对性地影响位长或电平持续时间。在另一表现形式中，所描述的特征也能够有针对性地引入到系统中，例如通过对网络的硬件部件进行选择、组合或有针对性地进行操控。这种有针对性的特征能够选择成，使得其是差异性更强的且能够将位长或电平持续时间更简单地、更单义地或更鲁棒地与相应的网络参与者或网络区段相关联。

在此，位长或电平持续时间能够

-表征或证明网络或子网络整体，

-表征或证明网络中的确定的传输路径或传输信道，或者

-表征或证明个体的网络参与者（例如车辆网络中的控制设备或者网络的网关）。

在系统中，也能够共同地使用以全部三种不同的表现形式的所述特征。

在图1中示出具有终端电阻10和11的示例性的网络。将ECU 101、ECU 102以及网络监视器或网络监控单元103作为网络参与者连接到总线1上。网络监视器103优选具有发送和接收机构，以接收总线1的消息以及将消息发送到总线1上。此外，所述网络监视器优选具有分析机构，以确定总线上消息传输的物理特征，以及具有计算单元或硬件电路，以从中尤其通过与预先确定数据比较来确定消息的来源。

在图2中示出用于保护网络防止网络攻击的方法的示例性的流程。首先，在第一步骤201中尤其借助模型根据传输的位长或电平持续时间建立至少一个物理指纹作为预先确定的、特征性的数值。优选地，对于全部网络参与者预先确定相应的数值。这能够尤其在安全环境中（例如在工厂）经由借助外部测量设备（例如示波器）测量消息传输的物理特征、即位长或电平持续时间来进行。替代地，也能够借助内部的测量设备确定物理特征，即特征性的位长或电平持续时间（例如借助网络参与者，例如车辆网络上的控制设备或在专门用于网络监控的网络节点的测量设备中的控制设备）。替代于此，也能够从外部接收模型或预先确定的数值并进行存储，例如从因特网服务器。

能够以不同的方式训练模型或者确定指纹。例如，能够在网络中传输确定的试样，所述试样尤其能够与另外的在总线上预期的消息无关联。替代地，指纹也能够根据在网络正常运行期间传输的正规消息中或从所述消息的部分中确定。也能够通过消息对确定的网络参与者要求：以确定方式进行响应，并且根据确定响应的传输来确定指纹。最佳地，借助于基于重复的且不同的传输的所测量的物理特征的模型来训练指纹，以便稍后根据指纹实现鲁棒的证明。

优选地，为了建立指纹而充分利用网络对传输的阶跃响应或者脉冲响应。借此尤其也能够描述系统中的所出现的反射，所述反射从网络的结构、其传输机构、其电阻和其所连接的硬件元件中得出。

在此，测试脉冲能够由常规的参与者或由专门的测试参与者产生。测试脉冲在此能够由一个或任意数量的电平切换构成，其中电平切换之间的时间是确定的或不确定的。也可以的是：对此将网络置于专门的学习模式中，而在此期间，例如不发生正常的数据传输。测试脉冲的发送者为了产生测试脉冲而能够具有由硬件和/或软件构成的专门的模块。

对于CAN网络，例如能够通过如下方式确定指纹：即仅测量CAN高和CAN低线路中的一个（相对于地测量）。这会与相对低的测量耗费联系在一起。替代地，也能够从这两者的测量中建立指纹，或者也能够考虑差分（differentiell）信号。由此，能够确定质量更高的指纹。

在步骤202中，存在有效的模型或存在有效的指纹，使得网络中的通信在步骤203中可以通过与模型或指纹比较来对其来源进行检查。具体地，能够在该步骤中确定各个消息和其内容（例如CAN总线上的消息帧或这种帧之内的各个位）、传输时间点、一个或多个传输参与者（尤其收发器）的消息传输中的更高阶的样本和传输的物理特征。借助所述信息已经能够辨认有害的或不期望的消息并且识别为由于网络攻击产生的（推测的）消息。通过将确定的物理特征与所训练的模型或所确定的指纹比较，能够确定消息的来源，进而辨认或确认网络攻击，或者定位网络攻击的攻击点。后者又实现对攻击点处的攻击做出有针对性的反应。

为了操纵识别和定位，作为传输的物理特征确定和分析所传输的位或位序列或符号的长度，或者网络线路上的表示位或位序列的不同的电平的相应的持续时间。在有利的实施方案中，将用于检测电平的实际测量点例如限定在名义位长的大约3/4处。这使得可能的是，位的长度能够波动并且尽管如此还可靠地识别位。所述波动（抖动）能够对于每个模块是单独的，进而能够作为针对确定网络参与者或其部件或针对确定网络区段或传输路段的特征来进行分析。也能够通过选择或操纵网络或网络参与者的硬件来将这种波动有针对性地引入网络中，以便使消息的来源被更好地辨认。

如果例如在关键总线上的控制设备具有相对长的“1”，但在相同关键总线上的网关具有相对短的“1”，那么能够对如下情况进行区分：消息是否来自控制设备之一或经由网关到达关键总线。在后一种情况下，作为反应例如能够将网关去激活，但是维持总线上的控制设备的通信。

不同的位长例如能够从收发器或通信控制器的硬件特性、从线缆特性或和从两者中产生。对于收发器而言，例如装入的电容中或电线路的电容中的不对称性能够对于位长的不对称性负责。

代替仅考虑位长本身，也能够考虑隐性和显性位分量之间的比例作为特征。

在图3中示出三个位序列或电平序列31、32、33，所述位序列或电平序列分别源自不同的网络参与者。序列32与序列31相比示出对应于位值0的较长的电平和对应于位值1的较短的电平。序列33与序列31相比示出对应于位值0的较短的电平和对应于位值1的较长的电平。根据传输的确定的位长或电平持续时间或基于1和0之间的电平分量的确定比例，因此能够识别进行发送的网络参与者。图3中的示例仅示出差分信号。该思想，例如在CAN总线的情况下，相应地也能够应用于（CAN）高和（CAN）低。

CAN总线使用物理层上的差分信号。状态空闲在此通过两个信号线路上的大约2.5V的电平来产生。这于是差分地对应于0V的电平。在此现在可能的是：电平变化差分地进行（在信号线路上的变化）。另一方面，差分变化也可以通过在两个信号线路中的相反的电平变化。在两个信号线路中传输帧期间，也能够执行相反的电平变化作为指纹。这将不改变差分信号，但是在相对于地进行测量时能够被检测。

在步骤203中数据的确定和分析，能够通过各个网络参与者，例如由车辆网络的各个控制设备来进行。替代地，也能够对其使用单独设置的监控单元作为网络参与者。各个特性，例如传输时间点，但是还有其他的物理特征能够在没有专门硬件的情况下检测。对于其他特性、特别是以期望的细节程度的其他特性，在单元中的附加的硬件是有意义的。因此优选地有意义的是：给各个网络参与者传输检测和分析并且相应地对网络参与者进行配设。所述网络参与者也能够具有附加的保险机制，例如TPM（可信平台模块）。数据的分析也能够协作地通过多个网络参与者来进行。

尤其为了降低在需求确定的情况下的所需的存储空间，数据的检测和分析能够周期地或动态地进行。数据的存储能够实现：如果存在对网络进行网络攻击的猜测，那么也对于之前的消息执行来源分析。为了尽可能快地对攻击做出反应，实时检测和计算是最佳的。

所检测的数据能够单独地存储在每个控制设备中，存储在一个或多个网络监控单元中或也存储在网络外部。在一个有利的设计方案中，将数据存储在不同的地点，以便使对数据的攻击变难。在车辆网络的情况下，数据也能够存储在车辆外部，例如存储在服务器上。这具有的优点是：也能够对于其他车辆或从上级部门进行分析和反应，以及在对车辆进行网络攻击时数据不能（容易地）是攻击的对象。

如果消息在步骤203中分级为不使人生疑的，那么转向步骤204，并且消息能够在没有应对措施的情况下在网络中传输和分析。从步骤204能够转入步骤202并且为了进一步的消息传输进行数据检测和分析。附加地或替代地，在转向步骤207之后，能够将所检测的数据用于：调整或优化模型或指纹。这也能够有助于识别潜在的攻击，其中个别消息是无害的，但是其整体可能是极其有害的。这能够是有意义的，因为物理特征也能够随时间改变，例如由于老化效应。随后从步骤207又转入步骤201。

如果消息被评价为是令人生疑的，即评价为网络攻击的一部分，那么从步骤203中转入步骤205。在那里，采取适当的应对措施或反应。在一个尤其优选的设计方案中，应对措施或反应基于所识别的消息来源专门进行调整。

作为反应，例如能够通过将显性信号发送到消息信道上的方式（所述显性信号使得消息不可读或至少有错，例如通过覆写校验序列），或通过直接随消息之后发送错误帧的方式，能防止消息进一步传输（尤其在实时反应中）或至少防止进一步分析消息。所述反应也能够与消息源自何处相关地设计。

作为另外的应对措施，替代地或附加地也能够从网络中移除（尤其去激活）（推测的）被败坏的网络参与者，尤其将辨认为消息发送者的网络参与者或者将辨认为消息来源的网络区段中的网络参与者从网络中移除。同样地，能够截断传输路段，经由所述传输路段传输消息。此外，也能够在确定的网络或网络区段之间的网关处阻挡消息，以便避免攻击蔓延到相邻的或附加的网络或网络区段上。

车辆中的网络例如能够划分成逻辑和/或物理分离的区段。例如，车辆的音响主机所连接的网络区段能够经由网关与另外的网络区段分离，其中该另外的网络区段由安全关键的控制设备（例如用于发动机控制，用于ABS或ESP功能）使用。如果这种将两个网络区段分离的网关关于传输的特征或相应的指纹而被辨认为区段之一中的消息的源头，所述源头不可由攻击者经由软件来操纵，那么能有针对性地丢弃来自该网关（进而来自其他网络区段）的消息，或者同样能够将网关本身去激活。因此，能够对安全关键的网络区段进行保护防止对于其他的网络区段的攻击的影响。另一应对措施也能够是切断消息的主观想象的接收者。在此，除了完全去激活之外也可行的是：切换到具有功能减少的运行模式上，即紧急运行。

最后，替代地或附加地，也能够在网络之内传输警告信号或错误报告或向网络外部传输，所述警告信号或错误报告包含识别到的攻击和优选包含所确定的来源。

在随后的步骤207中，又能够基于所检测和分析的数据调整或优化模型或指纹。

在改变网络或其部件的硬件时可能需要：调整或重新学习指纹。这例如能够在返厂检查（更换、改变、补充或取下部件）时是这种情况或也由于系统老化而是这种情况。优选地，在此，调整或重新学习系统范围的指纹，因为这种变化通常也对其他部件或区段的指纹产生影响。这种调整过程或学习过程能够自动地启动，例如也当由系统自动地识别到特征改变时，自动地启动。替代地，也能够由授权的部门行使这种调整过程。

Claims (14)

1.一种用于保护网络（1）以防止网络攻击的方法，其中经由所述网络（1）的传输路段上的不同的电平在所述网络（1）中传输消息的位或位序列，其特征在于，

对于消息在所述网络（1）中的第一传输，确定不同电平中的至少一个电平的至少一个持续时间，所述至少一个持续时间或从中推导出的数值与至少一个预先确定的数值进行比较，并且根据所述比较识别对所述网络（1）的网络攻击，或者在所述网络（1）中定位对所述网络（1）的网络攻击，

其中所述至少一个持续时间：

-将网络或子网络作为整体来表征或证明，和/或

-表征或证明网络中的确定的传输路径或传输信道。

2.根据权利要求1所述的方法，其特征在于，所述至少一个预先确定的数值是所述至少一个电平的对于确定的网络参与者（103）特征性的持续时间或从中推导出的数值。

3.根据权利要求1所述的方法，其特征在于，确定不同的电平分量之间的比例，并且与电平分量的至少一个预先确定的比例进行比较。

4.根据权利要求1所述的方法，其特征在于，确定显性电平分量和隐性电平分量之间的比例，并且与电平分量的至少一个预先确定的比例进行比较。

5.根据权利要求1所述的方法，其特征在于，所述网络（1）是CAN总线系统。

6.根据权利要求1所述的方法，其特征在于，所述网络（1）是车辆内部的网络，并且定位从车辆外部对所述网络的网络攻击的车辆内部的攻击点。

7.根据权利要求6所述的方法，其特征在于，执行至少一个车辆控制设备的比较和/或所述至少一个持续时间的确定，所述车辆控制设备连接到所述网络上。

8.根据权利要求6所述的方法，其特征在于，由至少一个专门设置用于监控的网络参与者（103）或由所连接的车辆外部的计算单元执行与至少一个指纹的比较和/或所述至少一个持续时间的确定。

9.根据上述权利要求1-8中任一项所述的方法，其特征在于，通过对网络参与者或其部件的硬件选择或通过网络参与者或其部件的硬件操纵，在所述网络（1）中放大网络参与者之间的特征性的电平持续时间的变化性。

10.根据上述权利要求1-8中任一项所述的方法，其特征在于，在识别到网络攻击的情况下进行错误处理，以便将所述网络的定位的攻击点与所述网络（1）的其他部分分离，或发送对于识别到的操纵的警告通知。

11.根据权利要求10所述的方法，其特征在于，所述错误处理为：中断消息的传输，将消息辨认为是无效的，从所述网络（1）中排除所定位的攻击点，和/或将所述网络（1）的网关去激活。

12.根据权利要求10所述的方法，其特征在于，所述错误处理有针对性地针对定位的网络参与者、定位的网络区段或针对所述网络（1）的定位的传输路段来执行。

13.一种用于保护网络（1）以防止网络攻击的设备，所述设备包括：

存储器，具有存储于其上的计算机程序，和

处理器，被设计用于执行所述计算机程序以执行根据权利要求1至12中任一项所述的方法。

14.一种机器可读的存储介质，其具有存储于其上的计算机程序，所述计算机程序被设计成当在处理器上被执行时执行根据权利要求1至12中任一项所述的方法。

Images