CN108965236B - 用于保护网络免受网络攻击的方法 - Google Patents

用于保护网络免受网络攻击的方法 Download PDF

Info

Publication number
CN108965236B
CN108965236B CN201810479192.7A CN201810479192A CN108965236B CN 108965236 B CN108965236 B CN 108965236B CN 201810479192 A CN201810479192 A CN 201810479192A CN 108965236 B CN108965236 B CN 108965236B
Authority
CN
China
Prior art keywords
network
transmission
message
fingerprint
characteristic
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810479192.7A
Other languages
English (en)
Other versions
CN108965236A (zh
Inventor
C.胡特
C.施罗夫
H.勒尔
H.佐伊迪
P.杜普利斯
R.纪尧姆
R.赛尔温斯基
S.莱格
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of CN108965236A publication Critical patent/CN108965236A/zh
Application granted granted Critical
Publication of CN108965236B publication Critical patent/CN108965236B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/44—Star or tree networks
    • H04L2012/445—Star or tree networks with switching in a hub, e.g. ETHERNET switch
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

提出一种用于保护具有至少两个网络区段的网络免受网络攻击的方法。在此，确定第一消息的第一传输的第一特性，通过将所述第一特性与所述至少两个网络区段之一的至少一个用户的至少一个指纹或者与所述至少两个网络区段之一的指纹或者与所述至少两个网络区段之一的传输路段的指纹来比较，从所述至少两个网络区段之一中确定出所述第一消息的来源，并且根据所确定出的所述来源将相应的所述网络区段标识为网络攻击所涉及的，并且采取用于保护其余网络免遭来自于所涉及的网络区段的恶意消息影响的对应措施。

Description

用于保护网络免受网络攻击的方法
技术领域
提出一种用于保护网络免受网络攻击的方法、为此设立的网络用户以及为此设立的计算机程序。
背景技术
由W02012/159940 A2中已知一种方法，考虑将指纹用于表征（Charakterisierung）车辆网络，以便能够确定出对车辆网络的操纵（Manipulation）。该指纹在此尤其由网络配置获得。
EP 2 433 457 Bl描述一种用于车辆的安全系统以及用于侵入识别（IntrusionDectection（入侵探测））的方法以及在确定出相应的网络攻击的情况下用于反应的措施。
发明内容
提出一些方法，利用这些方法提高对网络的保护，其方式是，根据在网络中的传输能够识别对该网络的网络攻击并且对其定位。为此，将传输特性与至少一个指纹进行比较。指纹在此回溯到先前所确定的传输特性。在此优选地涉及模拟的特性。但如此创建的指纹优选地被数字化。首先优选地对于所述网络的网络用户、网络区段或传输路段进行定位。基于定位可以确定所涉及的网络区段并且基于该确定可以保护其余网络免受来自所涉及的网络区段的恶意消息。所提出的方法因此能够实现对网络攻击的经改善的识别，并且通过对于所述网络的网络攻击的攻击点的定位能够实现对所述攻击的有针对性的反应。在已识别的操纵的情况下的错误处理在此因此有针对性地对于所定位的网络区段来执行。为此可以在功能方面限制或去活来自所定位的网络区段中的网络用户、所定位的整个网络区段或者来自所定位的网络区段的传输路段；经由去活的网关来从所述网络中排除所定位的网络区段；或者不传输来自其的消息，或由网络用户摒弃来自其的消息。
如果所考虑的指纹根据模型（例如包括学习算法、神经元网络、随机模型或基于数据的或基于自动装置的模型）从传输的合适的特性中被确定，则可以将所述方法设计得特别可靠并且鲁棒性。
作为所提出的方法的另外的优点，对此不需要附加地传输的数据，由此也不存在对网络的实时要求的负面影响。在网络之外的攻击者不能够改变所述传输的物理特性，因为所述物理特性由网络的和其部件的硬件属性得出并且因此对于更高的软件层而言是不能得到的（nicht zugänglich）。
在优选的构型中，所述所考虑的传输特性包括：所述网络的物理属性、所述网络的传输信道的物理属性或所述网络的传输介质如线缆或连接点的物理属性、用户硬件，尤其收发器或微控制器的物理属性、所述网络的拓扑的物理属性或网络终端或终端电阻的物理属性、所传输的消息比特的长度、所述传输的抖动、所述传输的电流流动方向、在所述传输期间网络用户的内部电阻、在所述传输期间的电压变化过程、所述传输的频率份额（Frequenzanteil）或传输的时钟偏移或时间点。如果考虑这些特性其中的多个，则所述方法可以特别可靠地识别攻击以及在网络中定位攻击点。对定位的操纵明显变得困难。尤其对于被成功地攻击的发送单元而言变得困难的是，作为其他发送单元进行输出。
通过网络的部件的有针对性的电路技术、硬件选择或操纵可以将所考虑的特性也引入到网络中或者在网络中对其加强。由此可以进一步提高对攻击点的识别的和定位的可靠性。
网络或网络的用户被设立用于执行所描述的方法，其方式是，使其拥有电子的存储器资源与计算资源，用于实施相应的方法的步骤。在这样的用户的存储介质上或者在网络的分布式的存储器资源上也可以保存计算机程序，其被设立用于，当在用户中或者在网络中完成所述方法时实施相应的方法的所有步骤。
附图说明
下面参照所附附图并且根据实施例进一步描述本发明。其中在此：
图1示意性地示出具有多个网络区段的示例性的网络；
图2示出用于保护网络免受网络攻击的示例性的方法的示意性流程。
具体实施方式
本发明涉及一种用于保护网络免受网络攻击的或用于定位所涉及的网络区段以便保护其余网络免遭网络攻击的方法。
针对网络攻击的一般而言的网络的安全性和专门而言的车辆中的网络的安全性变得越来越重要。恰恰是对于联网的车辆和自动化的车辆而言，这样的攻击变得越来越相关。研究人员可能演示对车辆控制设备的成功的远程攻击。由此对于攻击者而言可能的是，接管车辆中的控制功能，其方式是，经由已成功地攻击的控制设备来将消息加载（einspielen）到车辆网络中。
一方面重要的是，识别对网络的攻击并且标识（identifizieren）由此加载的有害消息。另一方面同样意义重大的是，标识攻击的起源，尤其是以便能够采取（einleiten）有针对性的对应措施。如果将消息标识为恶意的，则现在应根据消息传输的数字的或模拟的特性来识别出：该消息来自于哪个网络区段，以便能够保护其余网络免受来自所涉及的网络区段的消息的影响。
对此应将网络的物理属性，例如网络用户（或者其收发器或微控制器）的物理属性、网络拓扑（尤其线缆和连接元件）的静态影响的物理属性或终端电阻的物理属性用于，确定出网络中的消息的来源。如果由这些物理属性合适地确定如下特性，根据传输的所述特性来确定其来源，则与包括发送方地址等等在内的消息内容完全地不同，对于远程攻击者而言几乎不可能影响所述特性。在另一种表现形式中，也可以将这样的特性有针对性地引入到系统中，例如通过对网络的硬件部件的选择、组装或有针对性的操纵。可以如此选择这样的有针对性的特性，使得所述特性是更有区别性的并且使得能够更简单地、更明确地或更鲁棒性地将相应的物理指纹分配给相应的网络用户或网络区段。
在此，指纹：
- 将网络或部分网络作为整体来表征或验证；
- 表征或验证网络中的确定的传输路径或传输信道；或
- 表征或验证个别的网络用户（例如车辆网络中的控制设备或网络的网关）。
在系统中也可以共同地使用这三个不同的表现形式的指纹。
在图1中示出网络用户101，所述网络用户被构造为域控制设备，其连接到网络基干（Netzwerk-Backbone）1上。网关102或103将网络骨干与总线11或12连接。网络用户111、112或121、122被连接到总线11或12上。因此总体上可以区分三个网络区段：具有网络骨干1和网络用户101的第一网络区段、具有总线11和网络用户111、112的第二网络区段以及具有总线12和网络用户121、122的第三网络区段。网关102和103将这些网络区段连接。
网络用户101具有硬件部件1011，用于支持或执行所提出的用于保护网络免遭网络攻击的方法。对此，硬件部件1011拥有用于测量网络中的传输的物理特性的附加的测量装置和/或拥有用于分析所检测的数据的附加的评估单元。所述测量装置以及所述评估单元可以部分地或者也可以完全地由计算单元组成。
域控制设备101现在可以单独地或与其他网络用户111、112、121、122相结合地确定出攻击并对其定位并且采取特定的对应措施。优选地，其中包括：在所述网关之一中阻止来自于所涉及的网络区段的消息，从而保护不涉及的网络区段免受来自所涉及的网络区段的恶意消息的影响。在没有在网关中的封锁的情况下，各个网络区段也可以忽视或摒弃来自于所涉及的网络区段的消息。也可以有针对性地去活所涉及的网络区段，例如通过上一级的网络用户。
在图2中示出用于保护网络免遭网络攻击的方法的示例性的流程。首先，在第一步骤201中借助模型来创建物理上的指纹。这可以经由利用外部测量设备（例如示波器）来对所需的物理特性的测量来进行，尤其在安全的周围环境中（例如在工厂中）。可替代地，也可以利用内部的测量装置来确定物理特性（例如利用网络用户的机构，例如车辆网上的控制设备的机构，或者在网络节点的专门用于网络监控的测量装置中）。对此替代地，也可以从外部接收和存储模型或指纹，例如从互联网服务器。
该模型可以通过不同的方式被学习（anlernen）或者确定指纹。例如，可以在网络中传输确定的检查样本（Prüfmuster），所述检查样本尤其可以是与在总线上所预期的其他消息没有相关性的。可替代地，也可以根据在网络的正常运行期间所传输的常规消息或者由这些消息的部分来确定指纹。通过消息也可以要求确定的网络用户，通过确定的方式进行答复，并且根据确定的答复的传输来确定指纹。通过最优的方式，借助模型基于重复的和不同的传输的所测量的物理特性学习所述指纹，以便稍后根据这些指纹能够实现鲁棒性的认证。
优选地，对于指纹的创建，充分利用网络对传输的阶跃响应和脉冲响应。因此，尤其也可以描述系统中出现的反射，所述反射由网络的结构、其传输机构、其电阻和其所连接的硬件元件引起。
测试脉冲在此可以由一般的用户或者由特殊的测试用户产生。测试脉冲在此可以由一定数目的或任意数目的电平变换（Pegelwechsel）组成，在其中，在电平变换之间的时间是确定的或未确定的。也可能的是，为此，将该网络置于（versetzen）特殊的学习模式中，在此期间例如不进行一般的数据传输。测试脉冲的发送方可以为了产生测试脉冲而拥有由HW和/或SW组成的特殊的模块。
对于CAN网络可以例如确定指纹，其方式是，仅仅测量CAN高位线路和CAN低位线路（CAN-High-und CAN-Low-Leitung）中的一个（相对地来测量）。这与相对低的测量耗费相关联。可替代地，也可以由两者的测量来建立指纹，或者也可以考虑差分的信号。由此可以确定更高质量的指纹。
在步骤202中，存在有效的（valid）模型或有效的指纹，从而在步骤203中通过与模型或指纹的比较可以鉴于其来源来检查网络中的通信。具体地，可以在该步骤中确定各个消息和其内容（例如在CAN总线上的各个消息帧或者在这样的帧内的各个比特）、传输时间点、在一个或多个传输用户（尤其收发器）的消息通信（Nachrichtenverkehr）中的更高阶的模式（Muster）和传输的物理特性。有害的或未预期的消息可以利用这些信息被标识并且被识别为基于网络攻击的（推测的）消息。
此外，通过确定的物理特性与所学习的模型或所确定的指纹的比较，尤其对于这样的消息可以确定消息的来源并且因此可以标识网络攻击并且确定作为网络攻击的攻击点的网络区段。后者又能够实现对该攻击的有针对性的反应。所涉及的网络区段被确定，其方式为，基于特性与指纹的比较，该消息的来源导致以下结果：该消息来自于该网络区段的网络用户、来自于该网络区段的传输路段或刚好来自于所确定的网络区段。
在步骤203中的数据的确定和评估可以通过各个网络用户，例如由车辆网的各个控制设备来进行。可替代地，也可以将单独设置的监控单元为此作为网络用户来使用。可以在没有专门的硬件的情况下检测各个属性，例如传输时间点，但也可以检测另外的物理特性。对于其他属性，主要以所期望的详细程度，在这些单元中的附加的硬件是有意义的。因此优选有意义的是，给各个网络用户传输并且相应地配备所述检测和所述评估。其也可以拥有附加的保证机制，例如TPM（Trusted Platform Module（可信平台模块））。数据的评估也可以协同地通过多个网络用户来进行。
数据的检测和评估可以周期性地或动态地进行，尤其用于在所确定出的需求的情况下减少所需的存储器空间。数据的存储实现：如果存在对已发生的对于网络的网络攻击的怀疑，则对于过去的消息也执行来源的分析。对于对攻击的尽可能快的反应而言，实时检测与实时计算是最佳的。
如果消息在步骤203中被归入为毫无疑问的，则分支到步骤204并且消息可以在无对应措施的情况下在网络中被传输和评估。从步骤204可以分支到步骤202中并且对于进一步的消息传输可以进行数据检测和分析。附加地或可替代地，可以在分支到步骤207之后，将所检测的数据用于匹配或改善模型或指纹。这也可以造成，识别潜在的攻击，在所述攻击中，各个消息并非有害，而是在其总体方面可能是非常有害的。这可能是有意义的，因为物理特性也可能随时间发生改变，例如基于老化效应。由步骤207然后又分支到步骤201中。
如果消息被评价为可疑的，即评估为网络攻击的一部分，则由步骤203分支到步骤205中。在那里发起合适的对应措施或反应。在此，基于所识别的消息来源专门匹配对应措施或反应。
作为反应，可以阻止进一步的传输（尤其在实时反应的情况下）或者阻止至少第一消息的进一步评估，例如其方式是，发送显性信号到消息信道上（所述显性信号使消息不可读或至少有错误，例如通过改写校验序列）或者以紧接着该消息的方式发送错误帧。这些反应也可以根据消息来自于哪里来设计。
可替代地或附加地，作为另外的对应措施也可以从该网络移除（尤其是去活）（推测的）已受损（korrumpiert）的网络用户、尤其以下网络用户：该网络用户已被标识为该消息的发送方，或者该网络用户来自于如下网络区段，该网络区段已被标识为该消息的来源。同样可以阻塞以下传输路段：通过所述传输路段传输了该消息。此外，也可以在确定的网络或网络区段之间的网关处封锁消息，以便避免对相邻的或附加的网络或网络区段的攻击的蔓延。
车辆中的网络可以例如划分成逻辑上和/或物理上分离的区段。例如，车辆的头单元（Head Unit）所连接到的网络区段可以通过网关与另外的网络区段分离，其中，所述另外的网络区段由安全关键的控制设备所使用（例如用于发动机控制、ABS功能或ESP功能）。如果确定的网络区段通过传输的特性或相应的指纹而被标识为受损的消息的来源，则可以例如在网络区段之间的网关中有针对性地摒弃或封锁来自所涉及的网络区段的消息。因此，可以保护例如安全关键的网络区段免受对其他例如安全较不关键的网络区段的攻击的作用。
对应措施在此优选地通过通信控制器（例如CAN网络中的CAN控制器）或收发器（例如CAN网络中的CAN收发器）来实现。由此不产生与网络用户的软件的冲突。硬件单元（控制器或收发器）可以利用例如中断来对受损的消息作出反应，网络用户的软件可以仅仅对该中断合适地作出反应。通信控制器也可以如此设立，使得通信控制器直接摒弃恶意的消息，而不利用中断来打扰（behelligen）网络用户。此外，通信控制器也可以发送警告通知，所述警告通知对攻击的或相应的恶意消息的探测进行通知。
可替代地或附加地，最后也可以通过其他途径通过网络用户来在网络之内或向网络外部传输警告信号或错误报告，所述警告信号或错误报告包含所识别的攻击以及优选地包含关于被标识已涉及的网络区段的信息。
在下面的步骤207中又可以基于所检测的和所评估的数据来匹配或改善模型或指纹。
对于操纵识别可以考虑不同的特性。
例如可以确定和评估所传输的比特的长度或在网络线路上的电平的长度。在有利的实现方案中，例如在标称比特长度的大约3/4处定义用于检测电平的实际测量点。这使得可能的是，比特在其长度方面可能波动并且尽管如此仍可靠地被识别。这种波动（抖动）可以是对于每个组件而言个别的并且因此可以被作为特性来评估。通过选择或操纵网络的或网络用户的硬件也可以将这类波动有针对性地引入到网络中，以便使消息的来源能够更好地被标识。
如果在关键总线上的控制设备具有相对长的“1”，但在同一关键总线上的网关具有相对短的“1”，则可以区分：消息是来源于控制设备之一还是通过网关到达该关键总线。作为反应，例如可以在后一种情况下去活网关，但维持在总线上的控制设备的通信。
不同的比特长度可以例如由收发器的硬件属性、由线缆属性或由这两者所引起。对于收发器，例如在所装入的电容中的或在电线路的电容中的不对称性导致比特长度的不对称性。
替代仅仅考虑比特长度自身地，也可以考虑隐性的比特部分和显性的比特部分之间的比例（Verhältnis）作为特性。
传输的抖动属性适合作为对于指纹或模型创建而言的另外的特性。抖动例如可以通过基于不同的线缆长度的反射与在网络拓扑内的有错误的终止的相互作用地来产生。
经由网络的通信连接的电荷的流向也可以用作特性。如果传输信号，则由此也引起电子流或电荷流。如果与其电平相关联地探测到流的方向，则可以区分，从哪个方向传输了信号。流的探测优选电感式地进行，例如借助测量线圈。但测量电阻（分流器）的应用也是可能的。优选地，对此在网络的通信连接上设置附加的测量点。电荷流取决于，传输什么类型的信号（例如在CAN总线上的高或低）以及谁发送该信号（谁是源，并且谁是宿（Senke））。
对于在传输中的不同的信号源的区分，源的内部电阻也可以起重要的作用。例如，网络用户的或其部件的内部电阻的变化也可以有针对性地进行。内部电阻影响例如电压变化过程和电荷流。
作为传输的另一个特性，提出在时间上的电压变化过程。对于在不同的网络用户或网络区域之间的传输的电压变化过程中的变化的原因例如可能是相应的收发器或线缆连接（过渡电阻、阻抗）。
在另一种优选的构型中，可以考虑信号的频率份额作为特性。每个网络用户或每个网络区域可以在网络中的传输情况下引入或抑制（dämpfen）不同的频率，例如通过相应的收发器的或通信控制器的不同的属性或通过线缆属性。可以测量这些频率或确定不同的频率份额。对此，可以在频率范围中而不是在时间范围中进行评估。不同的频率份额也由网络中的信号叠加和信号反射引起。为了提高网络用户的可认证性，也可以将不同的频率特性有针对性地引入到网络中。
在网络的用户之间的时钟偏移也可以属于合适的传输特性。
在一种优选的构型中，考虑至少两种不同的特性，由此提高操纵的分配的可靠性并且明显减小可操纵性。
在网络的硬件或其部件的改变中可能需要的是，匹配或重新学习指纹。这可以例如在车间巡视（更换、改变、补充或去除部件）的情况下或也可以由于系统的老化而是这种情况。优选地，在此匹配或重新学习全系统范围的（systemweit）指纹，因为这类改变通常也具有对其他部件或区段的指纹的作用。这样的匹配过程或学习过程可以自动地开始，例如也可以当通过系统已自动地识别了特性的改变的时候开始。可替代地，这样的匹配过程也可以从经授权的位置发起。

Claims (22)

1.一种用于保护具有至少两个网络区段的网络（1）免受网络攻击的方法，其特征在于，确定第一消息的第一传输的第一特性，通过将所述第一特性与所述至少两个网络区段之一的指纹或者与所述至少两个网络区段之一的传输路段的指纹来比较，从所述至少两个网络区段之一中确定出所述第一消息的来源，并且根据所确定出的所述来源将相应的所述网络区段标识为网络攻击所涉及的，并且采取用于保护其余网络免遭来自于所涉及的所述网络区段的恶意消息的影响的对应措施，
其中所述指纹：
- 将网络或部分网络作为整体来表征或验证；和/或
- 表征或验证网络中的确定的传输路径或传输信道。
2.根据权利要求1所述的方法，其特征在于，所述对应措施包括中断所述消息的传输、将所述消息标明为无效的、将所述网络区段从所述网络（1）中排除、去活所述网络（1）的网关以便将所述所涉及的网络区段与其余的网络（1）分离、在网关中封锁来自所述所涉及的网络区段的消息或者发送具有关于所述所涉及的网络区段的信息的警告通知。
3.根据权利要求1所述的方法，其特征在于，根据所述第一消息的内容与所预期的内容之间的比较或根据所述第一消息的传输时间点与所预期的传输时间点的比较来识别所述网络攻击。
4.根据以上权利要求1-3中任一项所述的方法，其特征在于，根据所述第一消息的来源识别所述网络攻击。
5.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述网络（1）是CAN总线系统。
6.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述网络（1）是车辆内部的网络并且定位从车辆外部对所述网络的网络攻击的车辆内部的攻击点。
7.根据权利要求6所述的方法，其特征在于，由至少一个车辆控制设备执行所述第一特性的确定和/或与所述至少一个指纹的比较，所述车辆控制设备连接到所述网络上。
8.根据权利要求7所述的方法，其特征在于，所述车辆控制设备为此拥有监控单元，所述监控单元被集成到所述车辆控制设备的微控制器或收发器中。
9.根据权利要求7所述的方法，其特征在于，所述车辆控制设备是所述车辆的中央控制设备或域控制设备。
10.根据权利要求6所述的方法，其特征在于，由专门设置用于监控的至少一个网络用户或由所连接的车辆外部的计算单元执行所述第一特性的确定和/或与所述至少一个指纹的比较。
11.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括所述网络（1）的物理属性。
12.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括所述网络的传输介质的物理属性。
13.根据权利要求12所述的方法，其特征在于，所述网络的传输介质是线缆、耦合网络、滤波器电路或连接点。
14.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括所述网络用户的硬件的物理属性。
15.根据权利要求14所述的方法，其特征在于，所述网络用户的硬件是收发器或微控制器。
16.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括所述网络（1）的拓扑的物理属性或网络终端或终端电阻的物理属性。
17.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括：所传输的消息比特的长度、所述传输的抖动、所述传输的电流流动方向、在所述传输期间网络用户的内部电阻、在所述传输期间的电压变化过程、所述传输的频率份额或在所述传输期间的时钟偏移。
18.根据以上权利要求1-3中任一项所述的方法，其特征在于，所述第一特性包括传输的时间点。
19.根据以上权利要求1-3中任一项所述的方法，其特征在于，通过硬件选择或硬件操纵来将所述第一特性引入到所述网络（1）中或者在所述网络（1）中增强所述第一特性。
20.根据以上权利要求1-3中任一项所述的方法，其特征在于，对于所述至少一个指纹考虑多个不同的第二特性。
21.一种用于保护具有至少两个网络区段的网络（1）免受网络攻击的装置，所述装置具有：
存储有计算机程序的存储器；和
处理器，该处理器被设置成执行所述计算机程序以便执行根据权利要求1至20中任一项所述的方法。
22.一种机器可读的存储介质，所述存储介质具有在自身上所存储的计算机程序，所述计算机程序被设立用于当在处理器上被执行时执行根据权利要求1至20中任一项所述的方法。
CN201810479192.7A 2017-05-19 2018-05-18 用于保护网络免受网络攻击的方法 Active CN108965236B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102017208551.7 2017-05-19
DE102017208551.7A DE102017208551A1 (de) 2017-05-19 2017-05-19 Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff

Publications (2)

Publication Number Publication Date
CN108965236A CN108965236A (zh) 2018-12-07
CN108965236B true CN108965236B (zh) 2022-10-14

Family

ID=64278245

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810479192.7A Active CN108965236B (zh) 2017-05-19 2018-05-18 用于保护网络免受网络攻击的方法

Country Status (2)

Country Link
CN (1) CN108965236B (zh)
DE (1) DE102017208551A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102018221348A1 (de) * 2018-12-10 2020-06-10 Robert Bosch Gmbh Verfahren zur Verwaltung eines Speichers
DE102019210785A1 (de) * 2019-07-20 2021-01-21 Robert Bosch Gmbh Verfahren zur Beurteilung eines Kommunikationsnetzwerks, Batteriemanagementsystem und Batteriemodul
DE102021213666A1 (de) 2021-12-02 2023-06-07 Zf Friedrichshafen Ag Verfahren und Computerprogramm zum Erkennen einer Manipulation eines Steuergeräts eines Kraftfahrzeugs, Steuergerät-System und computerlesbares Medium

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106506435A (zh) * 2015-09-08 2017-03-15 中国电信股份有限公司 用于检测网络攻击的方法和防火墙系统
CN106506274A (zh) * 2016-11-08 2017-03-15 东北大学秦皇岛分校 一种可动态扩展的高效单包溯源方法

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060168193A1 (en) * 2004-11-23 2006-07-27 Gerald Starling Methods, computer program products, and systems for detecting incidents within a communications network
US8351454B2 (en) 2009-05-20 2013-01-08 Robert Bosch Gmbh Security system and method for wireless communication within a vehicle
DE102011076350A1 (de) * 2011-05-24 2012-11-29 Siemens Aktiengesellschaft Verfahren und Steuereinheit zur Erkennung von Manipulationen an einem Fahrzeugnetzwerk
CN102497362B (zh) * 2011-12-07 2018-01-05 北京润通丰华科技有限公司 异常网络流量的攻击源追踪方法及装置
EP3358800B1 (en) * 2014-01-06 2021-10-20 Argus Cyber Security Ltd Bus watchman
CN105991628A (zh) * 2015-03-24 2016-10-05 杭州迪普科技有限公司 网络攻击的识别方法和装置
US10044749B2 (en) * 2015-07-31 2018-08-07 Siemens Corporation System and method for cyber-physical security
CN105472621B (zh) * 2015-12-03 2018-11-27 西北大学 一种基于rssi的伪ap检测方法
CN106559261A (zh) * 2016-11-03 2017-04-05 国网江西省电力公司电力科学研究院 一种基于特征指纹的变电站网络入侵检测与分析方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106506435A (zh) * 2015-09-08 2017-03-15 中国电信股份有限公司 用于检测网络攻击的方法和防火墙系统
CN106506274A (zh) * 2016-11-08 2017-03-15 东北大学秦皇岛分校 一种可动态扩展的高效单包溯源方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
" 基于能量指纹匹配的无线认知网络仿冒主用户攻击检测";逄德明等;《计算机科学》;20110623;全文 *

Also Published As

Publication number Publication date
CN108965236A (zh) 2018-12-07
DE102017208551A1 (de) 2018-11-22

Similar Documents

Publication Publication Date Title
KR102601578B1 (ko) 사이버 공격에 대한 네트워크 보호 방법
Kneib et al. Scission: Signal characteristic-based sender identification and intrusion detection in automotive networks
CN108965238B (zh) 保护网络免受攻击的方法，网络用户系统和可读存储介质
CN108965236B (zh) 用于保护网络免受网络攻击的方法
US20180069874A1 (en) Attack detection apparatus
Murvay et al. TIDAL-CAN: Differential timing based intrusion detection and localization for controller area network
Seifert et al. Secure automotive gateway—Secure communication for future cars
US20220294638A1 (en) Method for monitoring a network
KR20180029961A (ko) 장치 인증 시스템
CN112347022A (zh) 用于can节点的安全模块
CN108965234B (zh) 用于保护网络防止网络攻击的方法
CN114465936A (zh) 用于识别对总线系统的不允许的物理访问的方法
CN111149336B (zh) 用于检测对车辆的控制器的攻击的方法
US20220138350A1 (en) Method for detecting an unauthorized physical access to a bus system
US20230300154A1 (en) Systems and methods for side-channel monitoring of a local network
US20220174073A1 (en) Method for checking a message in a communication system
Dupont et al. Network intrusion detection systems for in-vehicle network-Technical report
CN115412278A (zh) 用于防止对车辆的网络攻击的方法及相应装置
US11632313B2 (en) Systems and methods for side-channel monitoring of a local network
Hafeez A robust, reliable and deployable framework for in-vehicle security
US11606344B2 (en) Security enforcement in a system with a multiplicity of end units
Liu et al. Another Look at the Connection between CAN Signal Ringing & In-Vehicle ECU Identification
US20210064969A1 (en) Method for detecting a deterioration in a network
Wolford et al. Cyberattack Defense Through Digital Fingerprinting, Detection Algorithms, and Bus Segmentation in Ground Vehicles
Li et al. In-Vehicle ECU Identification and Intrusion Detection from Electrical Signaling

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant