CN111447166B - 车辆攻击检测方法及装置 - Google Patents

车辆攻击检测方法及装置 Download PDF

Info

Publication number
CN111447166B
CN111447166B CN201811639337.1A CN201811639337A CN111447166B CN 111447166 B CN111447166 B CN 111447166B CN 201811639337 A CN201811639337 A CN 201811639337A CN 111447166 B CN111447166 B CN 111447166B
Authority
CN
China
Prior art keywords
vehicle
determining
attack event
data message
time period
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811639337.1A
Other languages
English (en)
Other versions
CN111447166A (zh
Inventor
刘健皓
曹明革
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anxinxing (Beijing) Technology Co.,Ltd.
Original Assignee
Beijing Qihoo Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Qihoo Technology Co Ltd filed Critical Beijing Qihoo Technology Co Ltd
Priority to CN201811639337.1A priority Critical patent/CN111447166B/zh
Priority to PCT/CN2019/129315 priority patent/WO2020135755A1/zh
Publication of CN111447166A publication Critical patent/CN111447166A/zh
Application granted granted Critical
Publication of CN111447166B publication Critical patent/CN111447166B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40104—Security; Encryption; Content protection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明公开了一种车辆攻击检测方法及装置。其中，方法包括：确定针对于车辆发生的网络攻击事件；以及，确定针对于车辆发生的物理攻击事件；若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定车辆在该时间段内受到攻击。本方案根据车辆在网络空间以及物理空间受到的攻击事件，多维度地对车辆进行攻击检测，从而可以大幅降低攻击检测的误报率，提升攻击检测准确度，为实现车辆的安全防护提供基础；并且，本方案简单易行，易于大规模实施与应用。

Description

车辆攻击检测方法及装置
技术领域
本发明涉及车辆安全技术领域，具体涉及一种车辆攻击检测方法及装置。
背景技术
随着科技及社会的不断发展，各类智能化、自动化车辆的出现极大方便了人们的工作与生活，但同时也催生了许多针对车辆的安全威胁。例如，车辆中的可编程化或可远程控制化的智能单元为非法入侵者提供了新的入侵渠道，从而对人们的财产及生命安全造成极大威胁。
为保障车辆安全，实现对车辆的安全防护，首先需通过相应的检测方法检测车辆受到的攻击。目前，针对车辆的攻击检测仅仅局限于，在网络空间中检测是否存在针对车辆的攻击行为，若网络空间中存在针对车辆的攻击行为，则确定车辆受到攻击。然而，该检测方法的检测到的车辆攻击误报率较高，检测准确度低，不利于对车辆的安全防护。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的车辆攻击检测方法及装置。
根据本发明的一个方面，提供了一种车辆攻击检测方法，包括：
确定针对于车辆发生的网络攻击事件；以及，
确定针对于车辆发生的物理攻击事件；
若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击。
根据本发明的另一方面，提供了一种车辆攻击检测装置，包括：
网络攻击检测单元，适于确定针对于车辆发生的网络攻击事件；
物理攻击检测单元，适于确定针对于车辆发生的物理攻击事件；
确定单元，适于若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击。
根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述车辆攻击检测方法对应的操作。
根据本发明的再一方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述车辆攻击检测方法对应的操作。
根据本发明提供的车辆攻击检测方法及装置，确定针对于车辆发生的网络攻击事件；以及，确定针对于车辆发生的物理攻击事件；若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定车辆在该时间段内受到攻击。本方案根据车辆在网络空间以及物理空间受到的攻击事件，多维度地对车辆进行攻击检测，从而可以大幅降低误报率，提升攻击检测的准确度，为实现车辆的安全防护提供基础；并且，本方案简单易行，易于大规模实施与应用。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了根据本发明一个实施例提供的一种车辆攻击检测方法的流程示意图；
图2示出了根据本发明另一个实施例提供的一种车辆攻击检测方法的流程示意图；
图3示出了根据本发明又一个实施例提供的一种车辆攻击检测方法的流程示意图；
图4示出了根据本发明一个实施例提供的一种车辆攻击检测装置的结构示意图；
图5示出了根据本发明一个实施例提供的一种计算设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
本发明所提供的车辆攻击检测方法及装置具体可用于，基于CAN(ControllerArea Network，控制器局域网络)总线结构的车辆的攻击检测。
图1示出了根据本发明一个实施例提供的一种车辆攻击检测方法的流程示意图。如图1所示，该方法包括：
步骤S110，确定针对于车辆发生的网络攻击事件。
其中，本步骤可由车辆中的联网单元(如车载路由设备、车载娱乐单元等等)来执行；或者，本步骤也可由云端服务器执行，并由云端服务器下发确定结果至车辆，由车辆中的联网单元接收确定结果。
在实际的实施过程中，可确定车辆在网络空间中所受到的网络攻击事件。其中，本实施例对车辆受到的网络攻击事件的具体确定方法不做限定，例如，可利用白名单、沙箱、行为检测、和/或特征检测技术，确定针对于车辆发生的网络攻击事件，如可通过指令白名单的方式，判断下发至车辆的网络指令是否位于预设的指令白名单中，若否，则确定针对于车辆发生了网络攻击事件。
步骤S120，确定针对于车辆发生的物理攻击事件。
与现有技术不同的是，本实施例除了确定针对于车辆发生的网络攻击事件之外，还进一步确定针对于车辆发生的物理攻击事件。其中，在确定针对于车辆发生的物理攻击事件时，具体是根据车辆总线中的模拟信号进行确定，例如，可通过对车辆总线中模拟信号的来源合法性，判断是否发生针对车辆的物理攻击事件。本实施例对确定针对于车辆发生的物理攻击事件的具体实施方式不做限定。
其中，本步骤可由设置于车辆中的物理攻击检测单元执行，该物理攻击检测检测单元可搭载于车辆CAN总线中。可选的，为降低攻击检测的漏报率，可在每一路CAN总线中均搭载一物理攻击检测单元，也可以将物理攻击检测单元设置于各路CAN总线共同连接的网关中，并由设置于网关中的物理攻击检测单元监控每一路CAN总线发生的物理攻击事件，该设置方式可较大程度上降低成本。
本实施例对步骤S110以及步骤S120的具体执行顺序不做限定，两者可以顺序或并行执行。
步骤S130，若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定车辆在该时间段内受到攻击。
本实施例通过网络空间以及物理空间两个维度来对车辆进行攻击检测，可大幅提升攻击检测的误报率，提升攻击检测的准确率。
具体地，本实施例在确定车辆发生网络攻击事件以及物理攻击事件时，分别记录有网络攻击事件以及物理攻击事各自对应的攻击时间，当确定在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定车辆在该时间段内受到攻击。
其中，本实施对该同一时间段的时间段长度不做限定。本领域技术人员可根据攻击检测的精度需求设置相应的时间段长度；和/或，基于对历史的攻击事件的大数据分析，确定时间段长度；和/或，可根据确定的网络攻击事件以及物理攻击事件的攻击事件的类型，确定相应的时间段长度，即本实施例可预先为不同的攻击事件类型配置对应的时间段长度。
由此可见，本实施例中从网络空间以及物理空间两个维度来对车辆进行攻击检测，当在同一时间段内，针对于车辆既发生了网络攻击事件，又发生了物理攻击事件时，确定车辆在该时间段内受到攻击，从而可大幅提升攻击误报率，提升车辆攻击检测精度，从而为实现车辆的安全防护提供基础；并且，本方案简单易行，易于大规模实施与应用。
图2示出了根据本发明另一个实施例提供的一种车辆攻击检测方法的流程示意图。如图2所示，该方法包括：
步骤S210，确定是否针对于车辆发生了网络攻击事件；若是，则确定该网络攻击事件对应的时间段。
其中，本实施例对确定车辆发生网络攻击事件的具体方法不做限定，例如，可采用以下实施方式中的一种或多种的结合来确定是否针对于车辆发生了网络攻击事件：
在一种实施方式中，可在车辆的联网单元中配置相应的指令白名单，当车辆中的联网单元接收到网络指令时，判断接收到的网络指令是否位于指令白名单中，若否，则确定车辆发生了网络攻击事件；或者，也可在车辆的联网单元中配置相应的指令黑名单，当车辆中的联网单元接收到网络指令时，判断接收到的网络指令是否位于指令黑名单中，若是，则确定车辆发生了网络攻击事件。可选的，指令白名单和/或指令黑名单可根据云端服务器中的数据进行动态更新。云端服务器可根据车联网系统中车辆数据的分析，确定出相应的指令白名单或指令黑名单，并下发至车辆，从而车辆可根据云端服务器下发的指令白名单和/或指令黑名单进行全量或增量更新。可选的，为进一步地提升车辆的攻击检测精度，以及减少车辆联网单元的存储压力，云端服务器可进一步对指令白名单和/或指令黑名单进行细粒度的划分，为不同类型的车辆或不同的车辆个体，配置相应的指令白名单和/或指令黑名单，从而实现针对于车辆的指令白名单或指令黑名单的定制化，提高车辆的攻击检测效果。
在另一种实施方式中，可利用沙箱检测技术来确定针对于车辆发生的网络攻击事件。在具体的实施过程中，可将网络指令置于沙箱环境中，根据网络指令在沙箱中的执行结果来确定车辆是否发生网络攻击事件。可选的，本实施方式可具体与指令白名单和/或指令黑名单结合使用，即当网络指令未位于指令白名单时，进一步将该网络指令置于沙箱环境中，进而确定车辆是否发生网络攻击事件。
在此，本领域技术人员应当理解的是，确定是否针对于车辆发生了网络攻击事件的方法不仅仅包含以上两种方式或两种方式的组合，例如，还可根据行为检测技术和/或特征检测技术确定针对于车辆发生的网络攻击事件。本领域技术人员可根据实际情况选择相应的检测方法，本实施例在此不做限定。
若通过相应的检测方法确定针对于车辆发生了网络攻击事件，则进一步确定发生的网络攻击事件对应的时间段。在确定网络攻击事件对应的时间段时，可首先确定网络攻击事件对应的时间点以及预设的时间段长度，并进一步根据网络攻击事件对应的时间点以及预设的时间段长度，确定网络攻击事件对应的时间段。其中，在根据网络攻击事件对应的时间点以及预设的时间段长度，确定网络攻击事件对应的时间段过程中，可以以网络攻击事件对应的时间点为该时间段的起点，以网络攻击事件对应的时间点与预设的时间段长度之和作为该时间段的终点；又或者，以网络攻击事件对应的时间点与预设的时间段长度的一半的差值作为该时间段的起点，以网络攻击事件对应的时间点与预设的时间段长度的一半的和作为该时间段的终点，例如，若网络攻击事件对应的时间点为a，而预设的时间段长度为b，则网络攻击事件对应的时间段可以为(a，a+b)，或者，(a-b/2，a+b/2)。
步骤S220，判断在该时间段内，是否发生了针对于车辆的物理攻击事件；若是，则确定在该时间段内车辆受到攻击。
判断在步骤S210中确定的时间段内，是否发生了针对于车辆的物理攻击事件。其中，在确定针对于车辆发生的物理攻击事件时，可由搭载于车辆总线中的物理攻击检测检测单元对车辆总线中的数据报文进行监测，根据监测结果确定在该时间段内是否发生了针对于车辆的物理攻击事件。
在一种可选的实施方式中，可监测车辆总线中的数据报文，判断数据报文是否来自于合法的电子控制单元(ECU，Electronic Control Unit)；若否，则确定针对于车辆发生了物理攻击事件。其中，在判断数据报文是否来自于合法的电子控制单元时，需先确定发出数据报文的电子控制单元，车辆中不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同(该模拟信号声纹具体是指模拟信号的特征数据，例如可将模拟信号进行相应的数学转换后获得的数据作为模拟信号声纹，如模拟信号的差分信号电压等等。其中，可通过机器学习等方法预先确定出至少一个电子控制单元发出的至少一条数据报文的模拟信号的模拟信号声纹)。所以，可对数据报文进行解析，获得与数据报文对应的模拟信号声纹，并根据模拟信号声纹确定发出数据报文的电子控制单元。进一步地，车辆中的电子控制单元仅可发出某类或某几类数据报文，例如，车辆中的转向控制报文仅能由转向控制单元发出。因此，在确定发出数据报文的电子控制单元之后，判断发出数据报文的电子控制单元是否位于该数据报文对应的电子控制单元白名单中；若否，则确定针对于车辆发生了物理攻击事件。
在又一种实施方式中，可监测车辆总线中的数据报文，对数据报文进行解析，获得与数据报文对应的模拟信号声纹；并判断与数据报文对应的模拟信号声纹是否与该数据报文对应的标准模拟信号声纹相匹配；若否，则确定针对于车辆发生了物理攻击事件。在具体的实施过程中，针对于同一数据报文，不同的电子控制单元发出同一数据报文所解析出的模拟信号不同，而不同的模拟信号所对应的模拟信号声纹不同，则表明不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同。因此，针对于数据报文，可预先确定出合法的电子控制单元发出该数据报文的模拟信号，进而将合法的电子控制单元发出的该数据报文的模拟信号声纹作为与该数据报文对应的标准模拟信号声纹，从而，在确定针对于车辆发生的物理攻击事件过程中，可判断与数据报文对应的模拟信号声纹是否与该数据报文对应的标准模拟信号声纹相匹配；若否，则确定针对于车辆发生了物理攻击事件。
若在确定的时间段内，发生了针对于车辆的物理攻击事件，则确定在该确定的时间段内车辆受到攻击。
可选的，在确定车辆受到攻击之后，可进一步地发出相应的告警信息，从而可供对攻击行为进行快速阻断。
由此可见，本实施例从网络空间以及物理空间两个维度来对车辆进行攻击检测，当确定针对于车辆发生了网络攻击事件后，判断在与该网络攻击事件对应的时间段，进而当在确定的时间段内，发生了针对于车辆的物理攻击事件时，确定车辆受到攻击，从而可大幅提升攻击误报率，提升车辆攻击检测精度，从而为实现车辆的安全防护提供基础；并且，本实施例通过确定车辆总线中数据报文是否来源于合法的电子控制单元，和/或，确定数据报文对应的模拟信号声纹是否与数据报文对应的标准模拟信号声纹相匹配，来确定针对于车辆发生的物理攻击事件，可大幅提升物理攻击事件的检测效率及检测精度。
图3示出了根据本发明又一个实施例提供的一种车辆攻击检测方法的流程示意图。如图3所示，该方法包括：
步骤S310，确定是否针对于车辆发生了物理攻击事件；若是，则确定该物理攻击事件对应的时间段。
步骤S320，判断在该时间段内，是否发生了针对于所述车辆的网络攻击事件；若是，则确定在该时间段内车辆受到攻击。
其中，步骤S310及步骤S320的具体实施方式可参照步骤S210及步骤S220中相应描述，本实施例在此不做赘述。
由此可见，本实施例从网络空间以及物理空间两个维度来对车辆进行攻击检测，当确定针对于车辆发生了物理攻击事件后，判断在与该物理攻击事件对应的时间段，进而当在确定的时间段内，发生了针对于车辆的网络攻击事件时，确定车辆受到攻击，从而可大幅提升攻击误报率，提升车辆攻击检测精度，从而为实现车辆的安全防护提供基础；并且，本实施例通过确定车辆总线中数据报文是否来源于合法的电子控制单元，和/或，确定数据报文对应的模拟信号声纹是否与数据报文对应的标准模拟信号声纹相匹配，来确定针对于车辆发生的物理攻击事件，可大幅提升物理攻击事件的检测效率及检测精度。
图4示出了根据本发明一个实施例提供的一种车辆攻击检测装置的结构示意图。如图4所示，该装置包括：网络攻击检测单元41、物理攻击检测单元42以及确定单元43。
网络攻击检测单元41，适于确定针对于车辆发生的网络攻击事件。可选的，网络攻击检测单元41可以为车辆中的联网单元。
物理攻击检测单元42，适于确定针对于车辆发生的物理攻击事件。其中，物理攻击检测单元42可搭载于车辆总线中。可选的，可将物理攻击检测单元42设置于各路车辆总线共同连接的网关中，并由设置于网关中的物理攻击检测单元42监控每一路车辆总线发生的物理攻击事件，从而可较大程度上降低成本；又或者，可在每一路车辆总线中均搭载一物理攻击检测单元42，从而避免当网关受到入侵时导致整个车辆中的物理攻击事件无法监控的弊端。
确定单元43，适于若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击。其中，该模块可由搭载于车辆总线中专门的处理单元执行，也可以集成于网络攻击检测单元41或物理攻击检测单元42中。
可选的，物理攻击检测单元42进一步适于：监测车辆总线中的数据报文，判断所述数据报文是否来自于合法的电子控制单元；若否，则确定针对于车辆发生了物理攻击事件。
可选的，物理攻击检测单元42进一步适于：确定发出所述数据报文的电子控制单元，并判断发出所述数据报文的电子控制单元是否位于所述数据报文对应的电子控制单元白名单中；若否，则确定针对于车辆发生了物理攻击事件。
可选的，物理攻击检测单元42进一步适于：对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；根据所述模拟信号声纹确定发出所述数据报文的电子控制单元。
可选的，物理攻击检测单元42进一步适于：监测车辆总线中的数据报文，对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；判断与所述数据报文对应的模拟信号声纹是否与所述数据报文对应的标准模拟信号声纹相匹配；若否，则确定针对于车辆发生了物理攻击事件。
可选的，不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同。
可选的，网络攻击检测单元41进一步适于：利用白名单、沙箱、行为检测、和/或特征检测技术，确定针对于车辆发生的网络攻击事件。
可选的，网络攻击检测单元41进一步适于：确定是否针对于车辆发生了网络攻击事件；若是，则确定所述网络攻击事件对应的时间段；
物理攻击检测单元42进一步适于：判断在确定的时间段内，是否发生了针对于所述车辆的物理攻击事件；
确定单元43进一步适于：若在确定的时间段内，发生了针对于所述车辆的物理攻击事件，则确定在所述确定的时间段内车辆受到攻击。
可选的，物理攻击检测单元42进一步适于：确定是否针对于车辆发生了物理攻击事件；若是，则确定所述物理攻击事件对应的时间段；
网络攻击检测单元41进一步适于：判断在确定的时间段内，是否发生了针对于所述车辆的网络攻击事件；
确定单元43进一步适于：若在确定的时间段内，发生了针对于所述车辆的网络攻击事件，则确定在所述确定的时间段内车辆受到攻击。
其中，本装置中各单元的具体实施过程可参照图1、图2、和/或图3方法实施例中相应步骤的描述，本实施例在此不做赘述。
由此可见，本实施例中从网络空间以及物理空间两个维度来对车辆进行攻击检测，当在同一时间段内，针对于车辆既发生了网络攻击事件，又发生了物理攻击事件时，确定车辆在该时间段内受到攻击，从而可大幅提升攻击误报率，提升车辆攻击检测精度，从而为实现车辆的安全防护提供基础；并且，本方案简单易行，易于大规模实施与应用。
根据本发明一个实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的车辆攻击检测方法。
图5示出了根据本发明一个实施例提供的一种计算设备的结构示意图，本发明具体实施例并不对计算设备的具体实现做限定。
如图5所示，该计算设备可以包括：处理器(processor)502、通信接口(Communications Interface)504、存储器(memory)506、以及通信总线508。
其中：
处理器502、通信接口504、以及存储器506通过通信总线508完成相互间的通信。
通信接口504，用于与其它设备比如客户端或其它服务器等的网元通信。
处理器502，用于执行程序510，具体可以执行上述车辆攻击检测方法实施例中的相关步骤。
具体地，程序510可以包括程序代码，该程序代码包括计算机操作指令。
处理器502可能是中央处理器CPU，或者是特定集成电路ASIC(ApplicationSpecific Integrated Circuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。
存储器506，用于存放程序510。存储器506可能包含高速RAM存储器，也可能还包括非易失性存储器(non-volatile memory)，例如至少一个磁盘存储器。
程序510具体可以用于使得处理器502执行以下操作：
确定针对于车辆发生的网络攻击事件；以及，
确定针对于车辆发生的物理攻击事件；
若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
监测车辆总线中的数据报文，判断所述数据报文是否来自于合法的电子控制单元；
若否，则确定针对于车辆发生了物理攻击事件。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
确定发出所述数据报文的电子控制单元，并判断发出所述数据报文的电子控制单元是否位于所述数据报文对应的电子控制单元白名单中；
若否，则确定针对于车辆发生了物理攻击事件。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
根据所述模拟信号声纹确定发出所述数据报文的电子控制单元。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
监测车辆总线中的数据报文，对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
判断与所述数据报文对应的模拟信号声纹是否与所述数据报文对应的标准模拟信号声纹相匹配；
若否，则确定针对于车辆发生了物理攻击事件。
在一种可选的实施方式中，不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
利用白名单、沙箱、行为检测、和/或特征检测技术，确定针对于车辆发生的网络攻击事件。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
确定是否针对于车辆发生了网络攻击事件；
若是，则确定所述网络攻击事件对应的时间段；
判断在确定的时间段内，是否发生了针对于所述车辆的物理攻击事件；
若在确定的时间段内，发生了针对于所述车辆的物理攻击事件，则确定在所述确定的时间段内车辆受到攻击。
在一种可选的实施方式中，程序510具体可以用于使得处理器502执行以下操作：
确定是否针对于车辆发生了物理攻击事件；
若是，则确定所述物理攻击事件对应的时间段；
判断在确定的时间段内，是否发生了针对于所述车辆的网络攻击事件；
若在确定的时间段内，发生了针对于所述车辆的网络攻击事件，则确定在所述确定的时间段内车辆受到攻击。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例中车辆攻击检测装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (16)

1.一种车辆攻击检测方法，包括：
确定针对于车辆发生的网络攻击事件；以及，
确定针对于车辆发生的物理攻击事件；
若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击；
所述确定针对于车辆发生的物理攻击事件进一步包括：
监测车辆总线中的数据报文，判断所述数据报文是否来自于合法的电子控制单元；
若否，则确定针对于车辆发生了物理攻击事件；
所述确定针对于车辆发生的物理攻击事件进一步包括：
监测车辆总线中的数据报文，对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
判断与所述数据报文对应的模拟信号声纹是否与所述数据报文对应的标准模拟信号声纹相匹配；
若否，则确定针对于车辆发生了物理攻击事件。
2.根据权利要求1所述的方法，其中，所述判断所述数据报文是否来自于合法的电子控制单元；若否，则确定针对于车辆发生了物理攻击事件进一步包括：
确定发出所述数据报文的电子控制单元，并判断发出所述数据报文的电子控制单元是否位于所述数据报文对应的电子控制单元白名单中；
若否，则确定针对于车辆发生了物理攻击事件。
3.根据权利要求2所述的方法，其中，所述确定发出所述数据报文的电子控制单元进一步包括：
对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
根据所述模拟信号声纹确定发出所述数据报文的电子控制单元。
4.根据权利要求1所述的方法，其中，不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同。
5.根据权利要求1所述的方法，其中，所述确定针对于车辆发生的网络攻击事件进一步包括：
利用白名单、沙箱、行为检测、和/或特征检测技术，确定针对于车辆发生的网络攻击事件。
6.根据权利要求1所述的方法，其中，所述确定针对于车辆发生的网络攻击事件；以及，确定针对于车辆发生的物理攻击事件；若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击进一步包括：
确定是否针对于车辆发生了网络攻击事件；
若是，则确定所述网络攻击事件对应的时间段；
判断在确定的时间段内，是否发生了针对于所述车辆的物理攻击事件；
若在确定的时间段内，发生了针对于所述车辆的物理攻击事件，则确定在所述确定的时间段内车辆受到攻击。
7.根据权利要求1所述的方法，其中，所述确定针对于车辆发生的网络攻击事件；以及，确定针对于车辆发生的物理攻击事件；若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击进一步包括：
确定是否针对于车辆发生了物理攻击事件；
若是，则确定所述物理攻击事件对应的时间段；
判断在确定的时间段内，是否发生了针对于所述车辆的网络攻击事件；
若在确定的时间段内，发生了针对于所述车辆的网络攻击事件，则确定在所述确定的时间段内车辆受到攻击。
8.一种车辆攻击检测装置，包括：
网络攻击检测单元，适于确定针对于车辆发生的网络攻击事件；
物理攻击检测单元，适于确定针对于车辆发生的物理攻击事件；
确定单元，适于若在同一时间段内，针对于车辆发生了网络攻击事件以及物理攻击事件，则确定所述车辆在所述时间段内受到攻击；
所述物理攻击检测单元进一步适于：
监测车辆总线中的数据报文，判断所述数据报文是否来自于合法的电子控制单元；
若否，则确定针对于车辆发生了物理攻击事件；
所述物理攻击检测单元进一步适于：
监测车辆总线中的数据报文，对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
判断与所述数据报文对应的模拟信号声纹是否与所述数据报文对应的标准模拟信号声纹相匹配；
若否，则确定针对于车辆发生了物理攻击事件。
9.根据权利要求8所述的装置，其中，所述物理攻击检测单元进一步适于：
确定发出所述数据报文的电子控制单元，并判断发出所述数据报文的电子控制单元是否位于所述数据报文对应的电子控制单元白名单中；
若否，则确定针对于车辆发生了物理攻击事件。
10.根据权利要求9所述的装置，其中，所述物理攻击检测单元进一步适于：
对所述数据报文进行解析，获得与所述数据报文对应的模拟信号声纹；
根据所述模拟信号声纹确定发出所述数据报文的电子控制单元。
11.根据权利要求9所述的装置，其中，不同的电子控制单元发出同一数据报文所对应的模拟信号声纹不同。
12.根据权利要求9所述的装置，其中，所述网络攻击检测单元进一步适于：
利用白名单、沙箱、行为检测、和/或特征检测技术，确定针对于车辆发生的网络攻击事件。
13.根据权利要求9所述的装置，其中，所述网络攻击检测单元进一步适于：确定是否针对于车辆发生了网络攻击事件；若是，则确定所述网络攻击事件对应的时间段；
所述物理攻击检测单元进一步适于：判断在确定的时间段内，是否发生了针对于所述车辆的物理攻击事件；
所述确定单元进一步适于：若在确定的时间段内，发生了针对于所述车辆的物理攻击事件，则确定在所述确定的时间段内车辆受到攻击。
14.根据权利要求9所述的装置，其中，
所述物理攻击检测单元进一步适于：确定是否针对于车辆发生了物理攻击事件；若是，则确定所述物理攻击事件对应的时间段；
所述网络攻击检测单元进一步适于：判断在确定的时间段内，是否发生了针对于所述车辆的网络攻击事件；
所述确定单元进一步适于：若在确定的时间段内，发生了针对于所述车辆的网络攻击事件，则确定在所述确定的时间段内车辆受到攻击。
15.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；
所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的车辆攻击检测方法对应的操作。
16.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的车辆攻击检测方法对应的操作。
CN201811639337.1A 2018-12-29 2018-12-29 车辆攻击检测方法及装置 Active CN111447166B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201811639337.1A CN111447166B (zh) 2018-12-29 2018-12-29 车辆攻击检测方法及装置
PCT/CN2019/129315 WO2020135755A1 (zh) 2018-12-29 2019-12-27 车辆攻击检测方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811639337.1A CN111447166B (zh) 2018-12-29 2018-12-29 车辆攻击检测方法及装置

Publications (2)

Publication Number Publication Date
CN111447166A CN111447166A (zh) 2020-07-24
CN111447166B true CN111447166B (zh) 2022-11-04

Family

ID=71127697

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811639337.1A Active CN111447166B (zh) 2018-12-29 2018-12-29 车辆攻击检测方法及装置

Country Status (2)

Country Link
CN (1) CN111447166B (zh)
WO (1) WO2020135755A1 (zh)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112019512B (zh) * 2020-07-30 2023-07-25 杭州安恒信息技术股份有限公司 汽车网络安全测试系统
CN114666214A (zh) * 2021-12-21 2022-06-24 北京经纬恒润科技股份有限公司 一种车联网汽车的系统防火墙配置方法、装置和t-box
CN115277051B (zh) * 2022-06-01 2024-06-07 北京邮电大学 一种控制器局域网总线攻击检测方法和设备
CN116827713A (zh) * 2023-06-30 2023-09-29 重庆大学 一种用于新能源汽车的模拟工作系统

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106650505A (zh) * 2016-12-28 2017-05-10 北京奇虎科技有限公司 一种车辆攻击检测方法和装置

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
IL219361A (en) * 2012-04-23 2017-09-28 Verint Systems Ltd Security systems and methods based on a combination of physical and cyber information
CN105357179B (zh) * 2015-09-29 2018-10-30 深信服网络科技（深圳）有限公司 网络攻击的处理方法及装置
US11044260B2 (en) * 2016-04-01 2021-06-22 The Regents Of The University Of Michigan Fingerprinting electronic control units for vehicle intrusion detection
CN106790153B (zh) * 2016-12-29 2019-06-28 北京天融信网络安全技术有限公司 一种车联网安全控制系统及其方法
US10057286B2 (en) * 2017-01-03 2018-08-21 Karamba Security Automotive ECU controller and data network having security features for protection from malware transmission
US10757113B2 (en) * 2017-03-17 2020-08-25 Cylance Inc. Communications bus signal fingerprinting
CN109033829B (zh) * 2018-07-27 2021-08-27 北京梆梆安全科技有限公司 车辆网络入侵检测辅助方法、装置及系统

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106650505A (zh) * 2016-12-28 2017-05-10 北京奇虎科技有限公司 一种车辆攻击检测方法和装置

Also Published As

Publication number Publication date
WO2020135755A1 (zh) 2020-07-02
CN111447166A (zh) 2020-07-24

Similar Documents

Publication Publication Date Title
CN111447166B (zh) 车辆攻击检测方法及装置
Han et al. Anomaly intrusion detection method for vehicular networks based on survival analysis
US11063970B2 (en) Attack detection method, attack detection device and bus system for a motor vehicle
JP7194184B2 (ja) コネクテッド車両サイバー・セキュリティのためのシステム及び方法
US11748474B2 (en) Security system and methods for identification of in-vehicle attack originator
US11281811B2 (en) Method, apparatus and device for storing vehicular data
Lokman et al. Intrusion detection system for automotive Controller Area Network (CAN) bus system: a review
CN109600363B (zh) 一种物联网终端网络画像及异常网络访问行为检测方法
CN111274583A (zh) 一种大数据计算机网络安全防护装置及其控制方法
CN108965267B (zh) 网络攻击处理方法、装置及车辆
US20120096549A1 (en) Adaptive cyber-security analytics
US20170200323A1 (en) Cooperative Vehicle Monitoring and Anomaly Detection
CN111600880A (zh) 异常访问行为的检测方法、系统、存储介质和终端
EP2854362B1 (en) Software network behavior analysis and identification system
US11130455B2 (en) Vehicle security enhancement
US11694489B2 (en) Message monitoring system, message transmission electronic control unit, and monitoring electronic control unit
CN111447167A (zh) 车载系统安全防护方法及装置
Davi et al. Combining safety and security in autonomous cars using blockchain technologies
US20190384771A1 (en) Extracting device, extracting method and storage medium, and abnormality detecting device and abnormality detecting method
CN114172686B (zh) 车载can总线报文入侵检测方法、相关设备及计算机存储介质
CN112600839A (zh) 基于车联网平台构建安全威胁关联视图的方法及装置
US10666671B2 (en) Data security inspection mechanism for serial networks
CN111444511A (zh) 车载系统的安全防护方法及系统
CN106407815B (zh) 漏洞检测方法及装置
CN109711166B (zh) 漏洞检测方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20231113

Address after: 1739, 17th Floor, 15th Floor, Building 3, No.10 Jiuxianqiao Road, Chaoyang District, Beijing, 100000

Patentee after: Anxinxing (Beijing) Technology Co.,Ltd.

Address before: 100088 room 112, block D, 28 new street, new street, Xicheng District, Beijing (Desheng Park)

Patentee before: BEIJING QIHOO TECHNOLOGY Co.,Ltd.

TR01 Transfer of patent right