CN110120935A - 用于在通信网络中识别数据流中的异常的方法和设备 - Google Patents

Abstract

本发明涉及一种用于在通信网络中识别数据流中的异常的方法­，其中所述数据流具有数据分组（P），所述方法具有­以下步骤：监视（S1）经由通信总线（3）的网络通信，以检测所述数据流的数据分组；根据已检测的数据分组（P），­基于所提供的预测模型预测（S2）至少一个未来数据分组，和根据至少一个预测的数据分组来确定（S3）是否存在异常。

Description

用于在通信网络中识别数据流中的异常的方法和设备

技术领域

本发明涉及用于监视数据流以识别异常、即有错误或受到操纵的数据的攻击识别方法。

背景技术

在具有多个控制设备的系统中，可以在控制设备之间经由通信网络（例如串行现场总线）交换数据。这种现场总线的示例是CAN总线（CAN：控制器区域网络）。CAN总线主要用在机动车辆中，并允许从一个控制设备向一个或多个其他连接的控制设备进行受制于分组的数据传输。

在经由通信网络传输数据时，在实际操作中可能出现与正常行为的偏差，这些偏差被称为异常。这种偏差的原因可能是有缺陷或故障的子系统或控制设备提供有错误的数据或不提供数据。此外，系统可能被外部源操纵，其中经由通信网络传输的数据分组受到操纵或被注入新的数据分组。在系统按规定工作的情况下，在经由总线系统彼此连接的控制设备之间没有错误地传送数据分组，其中通常数据分组一般通过特定的、既固定又暂时的相关性而彼此依赖。

为了车辆系统的操作安全性，重要的是及早识别异常，特别是与从外部操纵车辆系统相关联而出现的异常。为此通过异常识别方法监视数据通信。

一种本身已知的识别这种数据流中的异常的可能性在于，根据静态规则检查每个传输的数据分组。从而例如可以检查循环传输的网络消息的循环时间是否存在异常，其方式是定义具有相应消息的额定循环时间的规则。如果实际循环时间与额定循环时间有偏差，则该规则遭到违反并且识别到异常。

虽然原则上由此可以识别到异常，但是针对数据流中其他错误和/或操纵的识别率是不足的，因为只能通过预定的规则以高的成本检查动态依赖。此外，随着网络架构复杂性的增加，对于足够的识别准确度来说所需要的必要规则的数量也在剧烈增长。

从文献US 2015/5191135 A中已知一种系统，在该系统中通过网络通信的事先数据分析来学习决策树。基于用作决策树的输入的进入的网络信息，用当前的网络数据遍历经过学习的决策树，并输出是否确定存在异常。

从文献US 2015/113638 A中已知一种系统，该系统建议基于学习算法来识别异常。在此情况下学习具有已知元信息（例如CAN-ID、循环时间等）的数据流量，并且为了识别车辆网络中的已知攻击将当前网络消息与已经知道的消息和模式进行比较，所述已经知道的消息和模式指示错误或操纵。

文献WO 2014/061021 A1同样建议借助于机器学习方法通过各种网络信息来识别异常或已知的攻击模式。

发明内容

根据本发明，提出了根据权利要求1的一种用于在通信网络中识别数据流中的异常的方法，以及根据并列权利要求的一种用于识别异常的设备和一种网络系统。

其他构造在从属权利要求中加以说明。

根据第一方面，提出了一种用于在通信网络中识别数据流中的异常的方法，其中该数据流具有数据分组，所述方法包括以下步骤：

-监视通信网络中的网络通信，以检测数据流的数据分组；

-根据已检测的数据分组，基于所提供的预测模型预测至少一个未来数据分组，和

-根据至少一个预测的数据分组确定是否存在异常。

上述方法的思想在于，基于已经经由网络组件之间的通信网络传输的数据分组来预测未来要预期的数据分组。预测的数据分组然后被用来检查一个或多个后续数据分组是否存在异常。在现有技术中描述的方法到目前为止仅使用当前或已经观察到的网络数据来检测传输的数据分组中的异常。

异常表示不同于正常行为的数据流量。在实际操作中，出于各种原因可能在网络通信中出现与正常行为的偏差。从而有缺陷的传感器可能提供错误数据或甚至不提供数据，网络组件可能被损坏，使得所涉及的网络组件的网络通信受损，或通信网络的通信被外部源（例如被黑客攻击）操纵。

通过根据对未来数据分组的预测来检查未来数据分组，特别是实现了关于防御机制的实现的扩展功能性以及对异常的改进识别。实质上，上述方法在于，预测的数据分组被用于检测异常并通过比较预测的数据分组与新接收的数据分组来识别偏差并得出异常的结论。

从而特别是不需要存在异常的示例数据以从中推导出用于异常识别的通用规则。由于采用上述方法根据网络通信的正常行为来执行数据分组的预测，因此异常识别基于允许在不知道异常情况的情况下实现异常识别的法则。因此，也可以识别到不能通过目前用于异常识别的常见规则来加以识别的异常。

特别地，这里提出的基于预测的数据分组的方法适合于补充目前基于规则的异常识别方法，从而可以提高用于识别异常的检测准确度。

此外，基于所提供的预测模型，可以从已检测的数据分组中预测多个未来数据分组。这还允许基于未来数据分组的序列改进异常识别。

可以规定，如果预测的数据分组不同于传输的数据分组，则识别到异常。

特别地，如果数据分组的时间戳和/或对应的数据片段彼此不同和/或循环网络消息的数据分组之间的时间间隔彼此偏差超过预定持续时间，则可以确定预测的数据分组和传输的数据分组之间存在偏差。

根据一种实施方式，如果预测的数据分组违反用于检查数据分组的预定静态规则，则可以识别到异常。从而例如如果预测的数据分组违反基于已接收到的数据分组的静态规则，则可以识别到异常。

此外，如果预测的数据分组被识别为异常数据分组，则可以将防御数据分组注入通信总线中。

可以规定，在通过预测预测的数据分组而给定的时间点将防御数据分组注入通信连接中。

此外，预测模型可以由神经网络、高斯过程模型、递归网络、LSTM模型（LSTM：长短期记忆网络）、HMM模型（HMM：隐马尔可夫模型）、Seq2Seq编码器和/或自动编码器提供，并借助于机器学习方法和经由通信网络进行无异常通信的时间段来加以训练。

根据另一方面，一种用于识别通信总线上的数据流中的异常的设备，特别是异常识别系统，其中该数据流具有数据分组，其中该设备被构造为：

-监视通信网络中的网络通信，以检测数据流的数据分组；

-根据已检测的数据分组基于所提供的预测模型预测至少一个未来数据分组，并且

-根据至少一个预测的数据分组来确定是否存在异常。

附图说明

下面将根据附图详细解释实施方式。

图1示出通信系统的示意图，该通信系统具有用于传输数据流的数据分组的通信总线；

图2示出由连续的数据分组组成的数据流的示例；和

图3示出图示用于实时地识别数据流的数据分组的异常的方法的流程图。

具体实施方式

图1示出了具有多个网络组件2的整个系统1的示意图，这些网络组件2经由通信总线3形式的通信网络彼此连接。网络组件2可以包括控制设备、传感器和致动器。通信总线3可以对应于现场总线或其他数据总线，例如CAN总线（机动车中的现场总线）。经由通信总线3，可以传输由数据分组的序列组成的数据流。在这种情况下，数据分组从网络组件2之一被传输到网络组件2中的至少另一个。

连接到通信总线3的是异常识别系统4，该异常识别系统可以单独构造或作为网络组件2之一的部件构造。异常识别系统4读取经由通信总线3传输的数据，并基于预定的规则执行异常识别。

如图2中示例性图示的，经由通信总线3传输的数据分组P由时间戳、用于表征数据分组P的源和/或目的地的ID标识符以及数据段S定义或包含时间戳、用于表征数据分组P的源和/或目的地的ID标识符以及数据段S，其中时间戳即发送所涉及的数据分组P开始的时间点。数据段S可以各自包含一个或多个数据片段B，所述数据片段对应于要传输的信息。数据片段B可以各自包括单独的比特、比特组、一个或多个字节。

执行基于规则的异常识别方法，其方式是针对每个数据分组P来检查通过规则预定的异常条件。目前的异常识别规则例如是针对确定ID标识符的数据分组P的查询，从而定义数据段S的数据片段B的值范围。从而可以预定以下规则：如果例如数据片段B的值在预定范围之外则识别到异常。规则也可以是基于时间的，其中例如确定的ID标识符必须在预定时间段/时间窗口内至少出现一次，否则同样识别到异常。如果不满足异常条件，则假定数据分组P是不引人注意的。

在下文中，作为目前异常识别方法的替代或补充，建议借助于数据分组P的预测来识别网络通信中的异常。下面将根据图3的流程图更详细地解释这种异常识别方法。

在步骤S1中，监视经由通信总线3的当前通信。在这种情况下，在异常识别系统4中检测和存储所发送的数据分组P的数据和信息。数据分组P的信息可以包括通过数据分组P传输的信息，如ID标识符ID、数据分组P的数据片段B和/或数据片段B中的数据的解释，特别是在它们是传感器值或物理变量的情况下。

此外，对于每个数据分组P，可以收集源或目的地地址、协议信息（例如关于报头数据片段中的数据占用的信息，关于相应协议的状态信息等）以及时间测量（如数据分组P之间的延迟时间和差异时间以及数据分组P的时间戳）。经由通信总线3中的通信所收集的信息取决于相应的网络系统1和所使用的通信协议，因此可以变化。在CAN总线的情况下，可以检测以下形式的数据。这些数据被设置为时间顺序信息，以便将时间顺序信息用作预测方法的输入向量：

在步骤S2中，作为预测方法的基础，使用从先前的时间点到当前观察的时间点t₀的数据，以便预测在未来时间点t₁的后续数据分组。也就是说，该预测允许预言在未来时间点t₁的后续数据分组。对接下来要传输的数据分组P的预测说明可以例如包括预测的数据分组的时间戳、预测的数据分组的ID标识符、预测的数据分组的目的地地址和/或源地址、预测的数据分组的数据片段B的值或预测的数据分组的协议状态。

所述预测是基于可训练的预测模型进行的，将借助于机器学习方法、基于高斯过程模型、神经网络等在经由通信网络3的无异常通信的时间段的基础上来训练该预测模型。特别地，可以借助于RNN（递归神经网络）和LSTM（长短期记忆网络）以及自动编码器和/或借助于其他硬件加速器的使用（例如GPU或用于操作神经网络的专用部件）来执行预测。

在一个或多个先前预测的数据分组的假设下，还可以使用预测方法来预测其他的未来数据分组。由此，通过预测方法已预测的时间点t_1…n的数据分组可以再次被用作预测方法的输入值，以预测具有时间戳t_n+1的数据分组。

上述预测方法的基础是：预测经由通信总线的通信的正常情况。位于已接收到的数据分组P中异常因此对预测的数据分组有影响。因此，这样预测的数据分组P可以在步骤S3中用在异常识别方法中。这可以通过多种方式进行。

如果该预测基于已接收到的数据分组P进行，所述已接收到的数据分组包含先前未由异常识别方法识别到的异常，则对后续的预测的数据分组产生有错误的预言。例如，这个错误可以用于通过借助于静态规则的检查确定是否满足循环网络消息的额定频率和/或确定的数据分组额定序列。如果根据预定的静态规则对预测的数据分组的检查得出否定的结论，则假设存在异常。从而存在以下可能性：在必要时同样应用的静态规则在传输异常数据分组的情况下可以检测到异常之前，借助于预测的数据分组中的后续错误来识别先前未识别到的异常。

通过将预测的数据分组与实际传输的数据分组进行比较，特别是分别在这些数据分组的传输之后直接进行，存在将预测的数据分组用于异常识别的另一种（替代或附加的）可能性。从而可以例如确定是否以及在哪些通信时间段中出现异常。

例如，如果例如通过预测每下一个数据分组的时间戳而识别到时间顺序的显著偏差或者识别到确定时间段内的数据分组频率存在偏差，则可以确定异常。在这种情况下，将预测的数据分组与后续出现的数据分组进行比较。由此，通过将关于数据分组的所有可用的信息（例如ID标识符ID、时间戳和数据片段B）进行比较，可以获得预测的数据分组与实际接收到的数据分组之间的偏差，所述偏差表明可能的错误或可能的操纵。

替代地或附加地，如果识别到预测的数据分组与当前传输的数据分组之间的偏差，则可以确定异常。如果数据分组的时间戳和/或对应的数据片段B彼此不同和/或循环网络消息的数据分组之间的时间间隔彼此偏差超过预定持续时间，则存在偏差。特别是，

-如果重复的数据分组（具有相同的ID标识符）的循环时间彼此不同，

-如果预测的数据分组的循环时间与实际传输的对应数据分组的循环时间彼此不同，和/或

-如果预测的数据分组的数据长度（在CAN情况下是DLC）与实际传输的数据分组的数据长度不同，

则存在偏差。

识别异常的另一种（替代或附加的）可能性在于，使用预定的静态规则来检查预测的数据分组。从而例如当预测的数据分组违反基于已接收到的数据分组的静态规则时，可以识别到异常。例如，静态规则可以预先规定，“在CAN-ID1之后始终跟随CAN-ID2”。如果预测或预言在具有CAN-ID1的传输数据分组之后具有CAN-ID3的数据分组以高概率出现，则可以判断存在对该静态规则的违反，即存在异常，虽然所涉及的数据分组尚未传输。

在另一变型中，可以将预测组件用于基于预测的数据分组来确定后续状态，例如通信协议或状态机的后续状态。如果可以例如以（马尔科夫）链/状态机的形式对状态切换或状态（例如通信协议或状态机的状态切换或状态）建模，则这对于检测网络系统上的攻击模式或对于操作系统上的异常识别是特别有用的。通过使用预测的数据，可以计算或预测并给定可能的后续状态转变。于是，可以基于一个或多个预测的状态转变进行与实际进行的状态切换（例如，通信协议的状态切换）的平衡，以确定偏差或异常。

通过从分析中来预测数据分组和/或结果，可以在怀疑有异常的情况下采取措施。特别是在步骤S4中，询问是否识别到异常。如果是这种情况（替代：是），则可以在步骤S5中用信号通知异常。否则返回到步骤S1。

在识别到异常的情况下，可以规定防御措施，所述防御措施使用预测的数据分组来执行防御措施。防御措施特别是可以基于：在通信总线3中注入防御消息，该防御消息必须在异常数据分组之前或同一时间点发送。这样的防御数据分组应该在异常数据分组之前到达潜在攻击者的接收器或目的地控制设备，由此防御才会成功。为此有必要根据传输的异常数据分组的历史确定每下一个异常数据分组出现的时间点。借助于该预测可以预言被操纵的数据分组何时被发送，如果被操纵的数据分组是循环发送的数据分组并且该数据分组先前被识别为受到操纵或遭到泄漏的话。如果例如识别到被操纵的异常数据分组，则对经由通信总线的后续通信进行预测。如果在预测的数据分组内发现先前识别的异常数据分组，则可以通过由接下来被操纵的数据分组的时间点和ID标识符组成的信息直接在异常分组之前发送防御数据分组。

Claims (11)

1.用于在通信网络中识别数据流中的异常的方法，其中所述数据流具有数据分组（P），所述方法具有以下步骤：

监视（S1）经由通信总线（3）的网络通信，以检测所述数据流的数据分组；

根据已检测的数据分组（P），基于所提供的预测模型预测（S2）至少一个未来数据分组，和

根据至少一个预测的数据分组来确定（S3）是否存在异常。

2.根据权利要求1所述的方法，其中，基于所提供的预测模型从已检测的数据分组中预测多个未来数据分组。

3.根据权利要求1或2所述的方法，其中，如果预测的数据分组与传输的数据分组不同，则识别到异常。

4.根据权利要求3所述的方法，其中，如果所述数据分组（P）的时间戳和/或对应的数据片段（B）彼此不同和/或循环网络消息的数据分组（P）之间的时间间隔彼此偏差超过预定的持续时间，则确定所述预测的数据分组和所述传输的数据分组之间存在偏差。

5.根据权利要求1至4中任一项所述的方法，其中，如果预测的数据分组违反用于检查数据分组（P）的预定静态规则，则识别到异常。

6.根据权利要求5所述的方法，其中，如果预测的数据分组被识别为异常数据分组，则将防御数据分组注入所述通信网络中。

7.根据权利要求6所述的方法，其中，在通过预测所述预测的数据分组而给定的时间点将所述防御数据分组注入所述通信网络中。

8.根据权利要求1至7中任一项所述的方法，其中，所述预测模型由神经网络、高斯过程模型和/或自动编码器提供，并且借助于机器学习方法和经由所述通信网络进行无异常通信的时间段来加以训练。

9.用于识别通信总线（3）上的数据流中的异常的设备，特别是异常识别系统（4），其中所述数据流具有数据分组（P），其中所述设备被构造为：

监视通信网络（3）中的网络通信，以检测所述数据流的数据分组（P）；

根据已检测的数据分组（P）基于所提供的预测模型预测至少一个未来数据分组，以及

根据至少一个预测的数据分组来确定是否存在异常。

10.计算机程序，其被设计用于执行根据权利要求1至8任一项所述的方法的所有步骤。

11.电子存储介质，其上存储有根据权利要求10所述的计算机程序。