CN110149345A - 一种基于报文序列预测的车载网络入侵检测方法 - Google Patents

Abstract

本发明公开了一种基于报文序列预测的车载网络入侵检测方法，包括如下步骤：步骤一，采用T‑BOX车载终端采集汽车总线、车身总线和动力传动系统总线相关的CAN总线数据和私有协议的反向控制；步骤二，根据汽车信息安全的三种攻击途径构成运行场景分析车辆可能存在的安全威胁；步骤三，根据步骤一中获得的数据集和步骤二中获得异常报文特征库进行学习训练构成评估检测器；步骤四，将输入的报文通过评估检测器进行检测验证。本发明的基于报文序列预测的车载网络入侵检测方法，通过步骤一至步骤四的设置，便可通过让系统学习攻击类型报文，然后识别出来进而实现防攻击的效果了。

Description

一种基于报文序列预测的车载网络入侵检测方法

技术领域

本发明涉及一种检测方法，更具体的说是涉及一种基于报文序列预测的车载网络入侵检测方法。

背景技术

智能交通网络的发展给人们带来了更加便利的生活，提高交通运输效率、保障交通安全、减少了驾驶危险的同时大大增加了旅途舒适度和提高了能源利用效率。但是诸多的车辆安全事件已经对以智能网联汽车为核心的智能交通方法提出了新的挑战，智能网联汽车的数据安全、通信安全和方法功能安全已经成为智慧交通方法发展的关键——不仅存在车辆信息泄露的可能性，甚至存在联网车辆被大规模控制，造成重大社会事件的巨大风险。

世界著名汽车企业宝马、丰田、特斯拉、JEEP等量产的车辆均不同程度的存在信息安全隐患，黑客已经能够通过信息篡改、病毒入侵等手段远程攻击汽车。目前，在世界范围内关于智能网联汽车信息安全在安全需求、模型理论等方面的相关研究集中在美日欧等发达国家。我国的汽车信息安全研究在近年才逐步发展，当前汽车信息安全防护技术标准亟待完善。基于传统网络安全理论和技术，需要开展汽车信息安全防护的适用性研究，从车辆安全漏洞、安全网关、安全服务等方面构建方法的安全防护体系，从而满足车辆计算资源低消耗、网络节点高速移动的汽车信息安全防护要求。

入侵检测方法(IDS，Intrusion Detection System)是指可以通过收集方法日志、应用程序信息或者进行网络抓包来发现其中违反安全策略的或对产生方法安全风险的行为。作为汽车信息安全防护的主要方法，入侵检测具有攻击防御的通用性，不仅可以防护外部攻击还可以防护内部攻击。在汽车行业的防护研究中，一般在通信网络和传感器中应用入侵检测技术，主要集中于车载网络异常入侵检测。

车载网络作为汽车信息安全的薄弱点，却在信息安全防护方面尚处于发展初期，主要是通过统计学模型以及专家方法等方法实现车辆信息异常状态识别和特定攻击行为检测。这些方法在计算资源有限的情况下，普遍存在检测精度、误报率、内存消耗等方面的问题。大数据分析作为一种基于统计方法实现大量数据特征提取与推理的方法，能够为汽车驾驶行为分析和危险状态识别提供理论支撑，但是在汽车车载网络安全检测方面的研究较少。因此，根据车载网络信息特征、数据传输规律、威胁攻击方式等内容，使用基于大数据分析方法，可以利用神经网络新技术进行深度学习，为有效解决车载网络威胁识别的高精度提供可能。

发明内容

针对现有技术存在的不足，本发明的目的在于提供一种基于报文序列预测的车载网络入侵检测方法。

为实现上述目的，本发明提供了如下技术方案：一种基于报文序列预测的车载网络入侵检测方法，包括如下步骤：

步骤一，采用T-BOX车载终端采集汽车总线、车身总线和动力传动系统总线相关的CAN总线数据和私有协议的反向控制，并将采集到的报文整理为数据集；

步骤二，根据汽车信息安全的三种攻击途径构成运行场景分析车辆可能存在的安全威胁，通过统计或其他数据模型将安全威胁的特征提取出来，根据提取出来的特征描述出不同类别报文的差异，然后获取不同攻击类型的特征并建立异常报文特征库；

步骤三，根据步骤一中获得的数据集和步骤二中获得异常报文特征库进行学习训练构成评估检测器；

步骤四，将输入的报文通过评估检测器进行检测验证，根据验证结果判断当前车辆运行状态是否存在信息安全攻击威胁，然后将判断的结果返回给T-BOX。

作为本发明的进一步改进，所述步骤一中采集CAN总线数据的方式为通过T-BOX设备进行抓包采集。

作为本发明的进一步改进，所述步骤一中的CAN总线数据包括控制汽车门窗、前车灯、车锁方向盘锁、喇叭信号以及提供车辆定位、车况信息、驾驶行为行车报告、防盗系统信息。作为本发明的进一步改进，所述步骤二中的攻击途径包括物理攻击、短距离无线攻击、长距离无线攻击，安全威胁包括欺骗攻击、窃听、重放攻击、DoS攻击、伪造攻击。

作为本发明的进一步改进，所述步骤四中的评估检测器检测评估方式为通过在每个时间步猜测当前报文的下一位的预测变量的损失来验证检测结果，通过多种比特损失方法，可以认为每一比特位的损失都是异常信号的基础，将整个报文序列的比特损失结合起来，为整个序列产生异常界限，最终找到最佳阈值作为数据检测的标准，对车载总线报文信息进行检测，如果检测到报文偏离损失大于最佳阈值，则确定车辆当前运行状态存在信息安全攻击威胁。作为本发明的进一步改进，所述步骤四中的评估检测器所执行的多种比特损失方法，每一种比特损失方法内都设定阈值标准作为参照。

作为本发明的进一步改进，所述步骤四中的评估检测器找到最佳阈值的步骤如下：

a，收集正常数据样本，针对正常数据下变化规律有代表性的ID创建异常数据样本；

b，将正常训练样本输入到检测系统中，得到最佳迭代次数和相应损失标准；

c，根据阈值标准，对总线中的存在异常数据样本数据进行检测，判断数据样本是否异常，进行分类；

d，针对分类的结果重复步骤1-3从而更新分类阈值标准，拟达到最优分类检测。

本发明的有益效果：

(1)本发明提出的基于报文序列预测的车载网络入侵检测系统，相比现有的信息安全入侵检测方法，对于不同报文都具有较稳定的检测性能，说明普适性很强，对于车辆信息安全的防护更具可靠性和有效性。

(2)本发明基于报文序列预测的车载网络入侵检测系统，集车辆数据提取、车辆攻击数据库建立、车辆入侵检测、车辆信息安全响应防护于一体，较传统汽车信息安全产品更具功能优势。

(3)本发明基于多车型及车辆不同运行状态进行车辆报文数据提取，较其他一些车辆通信数据采集更为全面，从多角度出发挖掘车辆信息点，使检测更具全面性，防护方法更具有效性。

(4)本发明在具体实施中使用比特相关性结合确定车辆的信息入侵特征阈值，相比其他车辆异常分类的方法，能够平衡单个比特自身变化的损失噪音与预测精确度作为异常指标的重要性，针对不同的攻击方式，检测更为全面和有效性。

附图说明

图1为本发明基于报文序列预测的车载网络入侵检测方法中的异常检测的流程图；

图2为本发明基于报文序列预测的车载网络入侵检测方法中的入侵检测系统数据库的模块图。

具体实施方式

下面将结合附图所给出的实施例对本发明做进一步的详述。

参照图1至2所示，本实施例的一种基于报文序列预测的车载网络入侵检测方法，包括如下步骤：

步骤一，采用T-BOX车载终端采集汽车总线、车身总线和动力传动系统总线相关的CAN总线数据和私有协议的反向控制，并将采集到的报文整理为数据集；

步骤二，根据汽车信息安全的三种攻击途径构成运行场景分析车辆可能存在的安全威胁，通过统计或其他数据模型将安全威胁的特征提取出来，根据提取出来的特征描述出不同类别报文的差异，然后获取不同攻击类型的特征并建立异常报文特征库；

步骤三，根据步骤一中获得的数据集和步骤二中获得异常报文特征库进行学习训练构成评估检测器；

步骤四，将输入的报文通过评估检测器进行检测验证，根据验证结果判断当前车辆运行状态是否存在信息安全攻击威胁，然后将判断的结果返回给T-BOX，T-BOX作为车联网系统中云端和车载端的信息交互支点，它承担着通信重任，因此，T-BOX上的发现的漏洞威胁可能会对整个车造成安全隐患。针对不同的运行场景分析车辆可能存在的安全威胁，易出现如欺骗攻击、窃听、重放攻击、DoS攻击、伪造攻击等信息安全问题。T-BOX作为车联网系统的车载终端，直接与车内网络通信，获取车况信息，因此通过T-BOX连接汽车总线收集车辆运行状态和报文信息，基于车辆不同状态下的信息差异和数据波动等特征，据车辆不同运行状态提取出相应的特征，通过在线监控可以知道车载网络传输的数据形式和动态变化规律。我们可以获取报文的时间戳、不同报文的数量、报文字段内容的变化情况等，主要是对车辆运行控制影响的特征数据，如雨刷、车灯开启关闭，转向灯开启、发动机转速等等，根据这些特征信息建立车辆正常特征库。提取出来的这些特征可以描述出不同类别报文的差异，根据这些攻击的类型特点，同时通过一定的方法模拟各类攻击的数据，主要包括在不同攻击场景下具有不同的变化规律等信息，然后获取不同攻击类型的特征并建立异常报文特征库，如此有效的便可通过T-BOX终端针对相应的攻击行为特征进行学习，然后再检测新进入的报文信息，判断该报文信息是否为异常特征报文，如此有效的实现整体的车载终端防攻击的方法。

作为改进的一种具体实施方式，所述步骤一中采集CAN总线数据的方式为通过T-BOX设备进行抓包采集，采用抓包的方式，便可实现在不影响CAN总线数据传输的情况下对于CAN数据进行采集。

作为改进的一种具体实施方式，所述步骤一中的CAN总线数据包括控制汽车门窗、前车灯、车锁方向盘锁、喇叭信号以及提供车辆定位、车况信息、驾驶行为行车报告、防盗系统信息，如此系统只需要对于CAN总线数据进行采集即可对于汽车的各个部位控制信号进行有效的采样。

作为改进的一种具体实施方式，所述步骤二中的攻击途径包括物理攻击、短距离无线攻击、长距离无线攻击，安全威胁包括欺骗攻击、窃听、重放攻击、DoS攻击、伪造攻击，上述攻击途径为现有技术中常用的攻击方式，如此便可有效的实现对于现有技术中的攻击方式进行模拟训练，这样就能够更好的防御入侵了。

作为改进的一种具体实施方式，所述步骤四中的评估检测器检测评估方式为通过在每个时间步猜测当前报文的下一位的预测变量的损失来验证检测结果，通过多种比特损失方法，可以认为每一比特位的损失都是异常信号的基础，将整个报文序列的比特损失结合起来，为整个序列产生异常界限，最终找到最佳阈值作为数据检测的标准，对车载总线报文信息进行检测，如果检测到报文偏离损失大于最佳阈值，则确定车辆当前运行状态存在信息安全攻击威胁，对于序列预测的异常特征，认为结合比特损耗的不同方法在性能上产生不同的折衷，本专利中采取在整个序列中结合比特损失的几种方法，对每一种都设定一定的阈值标准作为参照，综合检测，如此便可对于报文序列按照每个比特进行对比，避免出现检测遗漏的问题，这样能够更好的对于外部的报文网络攻击进行防御的作用。

作为改进的一种具体实施方式，所述步骤四中的评估检测器所执行的多种比特损失方法，每一种比特损失方法内都设定阈值标准作为参照，对于每一种比特损失方法都设置阈值标准，这样便可对于每一种比特损失方法的准确性进行有效的判断，评估结果更加的准确有效。

作为改进的一种具体实施方式，所述步骤四中的评估检测器找到最佳阈值的步骤如下：

a，收集正常数据样本，针对正常数据下变化规律有代表性的ID创建异常数据样本；

b，将正常训练样本输入到检测系统中，得到最佳迭代次数和相应损失标准；

c，根据阈值标准，对总线中的存在异常数据样本数据进行检测，判断数据样本是否异常，进行分类；

d，针对分类的结果重复步骤1-3从而更新分类阈值标准，拟达到最优分类检测，车辆网络异常检测性能主要通过检测率Ture Positive Rate(DPR)与误检率False PositiveRate(FAR)两个指标进行评价，其中两个指标的定义如下式：

研究中考虑许多攻击场景，并且训练适合每种场景的权重向量，以便应用适当的模型参数。为此，在所提出的方法中开发了反馈机制，测试结果进行指标评价后反馈优化模型架构和参数，用以改进检测效果。

综上所述，本实施例的方法，通过步骤一至步骤四的设置，便可有效的实现通过对攻击特征进行学习训练的方式，构成一个评估检测器，之后通过评估检测器对报文进行检测验证，进而有效的实现防御入侵的效果。

以上所述仅是本发明的优选实施方式，本发明的保护范围并不仅局限于上述实施例，凡属于本发明思路下的技术方案均属于本发明的保护范围。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理前提下的若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (7)

1.一种基于报文序列预测的车载网络入侵检测方法，其特征在于：包括如下步骤：

步骤一，采用T-BOX车载终端采集汽车总线、车身总线和动力传动系统总线相关的CAN总线数据和私有协议的反向控制，并将采集到的报文整理为数据集；

步骤二，根据汽车信息安全的三种攻击途径构成运行场景分析车辆可能存在的安全威胁，通过统计或其他数据模型将安全威胁的特征提取出来，根据提取出来的特征描述出不同类别报文的差异，然后获取不同攻击类型的特征并建立异常报文特征库；

步骤三，根据步骤一中获得的数据集和步骤二中获得异常报文特征库进行学习训练构成评估检测器；

步骤四，将输入的报文通过评估检测器进行检测验证，根据验证结果判断当前车辆运行状态是否存在信息安全攻击威胁，然后将判断的结果返回给T-BOX。

2.根据权利要求1所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤一中采集CAN总线数据的方式为通过T-BOX设备进行抓包采集。

3.根据权利要求2所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤一中的CAN总线数据包括控制汽车门窗、前车灯、车锁方向盘锁、喇叭信号以及提供车辆定位、车况信息、驾驶行为行车报告、防盗系统信息。

4.根据权利要求3所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤二中的攻击途径包括物理攻击、短距离无线攻击、长距离无线攻击，安全威胁包括欺骗攻击、窃听、重放攻击、DoS攻击、伪造攻击。

5.根据权利要求4所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤四中的评估检测器检测评估方式为通过在每个时间步猜测当前报文的下一位的预测变量的损失来验证检测结果，通过多种比特损失方法，可以认为每一比特位的损失都是异常信号的基础，将整个报文序列的比特损失结合起来，为整个序列产生异常界限，最终找到最佳阈值作为数据检测的标准，对车载总线报文信息进行检测，如果检测到报文偏离损失大于最佳阈值，则确定车辆当前运行状态存在信息安全攻击威胁。

6.根据权利要求5所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤四中的评估检测器所执行的多种比特损失方法，每一种比特损失方法内都设定阈值标准作为参照。

7.根据权利要求6所述的基于报文序列预测的车载网络入侵检测方法，其特征在于：所述步骤四中的评估检测器找到最佳阈值的步骤如下：

a，收集正常数据样本，针对正常数据下变化规律有代表性的 ID 创建异常数据样本；

b，将正常训练样本输入到检测系统中，得到最佳迭代次数和相应损失标准；

c，根据阈值标准，对总线中的存在异常数据样本数据进行检测，判断数据样本是否异常，进行分类；

d，针对分类的结果重复步骤1-3从而更新分类阈值标准，拟达到最优分类检测。