CN111448787A - 用于提供安全的车载网络的系统及方法 - Google Patents

用于提供安全的车载网络的系统及方法 Download PDF

Info

Publication number
CN111448787A
CN111448787A CN201880078471.0A CN201880078471A CN111448787A CN 111448787 A CN111448787 A CN 111448787A CN 201880078471 A CN201880078471 A CN 201880078471A CN 111448787 A CN111448787 A CN 111448787A
Authority
CN
China
Prior art keywords
message
detection
detection techniques
network
security threat
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201880078471.0A
Other languages
English (en)
Other versions
CN111448787B (zh
Inventor
朴胜煜
金势一
赵峨览
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hyundai Motor Co
Kia Corp
Original Assignee
Hyundai Motor Co
Kia Motors Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hyundai Motor Co, Kia Motors Corp filed Critical Hyundai Motor Co
Publication of CN111448787A publication Critical patent/CN111448787A/zh
Application granted granted Critical
Publication of CN111448787B publication Critical patent/CN111448787B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40006—Architecture of a communication node
    • H04L12/40032—Details regarding a bus interface enhancer
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/24—Querying
    • G06F16/245—Query processing
    • G06F16/2455—Query execution
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L12/40052—High-speed IEEE 1394 serial bus
    • H04L12/40104—Security; Encryption; Content protection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40208—Bus networks characterized by the use of a particular bus standard
    • H04L2012/40215—Controller Area Network CAN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/40—Bus networks
    • H04L2012/40267—Bus for use in transportation systems
    • H04L2012/40273—Bus for use in transportation systems the transportation system being a vehicle
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computational Linguistics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明属于一种用于提供安全的车载网络的系统及方法。根据本发明的一个方面，提出了有效地运行多种检测技术的方法，以便在保持对于恶意消息检测的强度的同时减少所需的系统资源。

Description

用于提供安全的车载网络的系统及方法
技术领域
本发明在一些实施方案中涉及向车载网络提供安全性。
背景技术
本节中的陈述仅提供涉及本发明的背景信息，并不会必然构成现有技术。
入侵检测系统(Intrusion Detection System，IDS)和入侵保护系统(IntrusionProtection System，IPS)已经广泛用于网络安全中。IDS监测网络活动并检测可疑行为。IPS表示具有对检测到的入侵作出响应(通过例如阻止可能影响系统的信号)的功能或能力的系统。通常，IDS和IPS一起用于称为入侵检测和防御系统(Intrusion Detection andPrevention System，IDPS)的系统。
随着车辆上配备的电子控制单元(ECU)的数量不断增加，并且车辆又通过无线网络连接到外部网络，引入IDS或IDPS来检测和处理对车辆内部网络的安全威胁。
发明内容
技术问题
本发明旨在提供运行多种检测方案的有效方法，以在保持针对恶意消息检测的鲁棒性的同时能够减少所需的系统资源。另外，本发明提供了在基于汽车开放系统架构(Automotive Open System Architecture，AUTOSAR)的软件架构中加载IDS或IDPS的各种方法。
技术方案
本发明的至少一方面提供一种向车载网络提供安全性的方法，包括：确定从车载网络收集到的新网络消息是否与预先检测到的安全威胁消息彼此相同或相似；当新网络消息与预先检测到的安全威胁消息彼此相同或相似时，跳过对新网络消息的多种检测技术的应用，并且立即将新网络消息视为安全威胁消息。因此，通过跳过不必要的检测处理可以提高整体操作速度，从而提高整体检测效率。
本发明的另一个方面提供一种向车载网络提供安全性的方法，包括：确定要应用于从车载网络收集到的新网络消息的多种检测技术的应用顺序；以确定出的应用顺序对新网络消息应用多种检测技术，并且确定新网络消息是否为安全威胁消息。可以基于应用于先前从车载网络收集到的至少一个网络消息的多种检测技术的检测历史来确定多种检测技术的应用顺序。因此，在以相似的方式连续尝试攻击时，相比于利用固定的应用顺序，能够更快地检测到攻击消息。
本发明的又一方面提供一种向车载网络提供安全性的方法，包括：启动对从车载网络收集到的网络消息的多种检测技术的并行应用；响应于多种检测技术中的任意一种检测技术将收集到的网络消息确定为安全威胁消息，停止对收集到的网络消息应用其余检测技术。因此，相比于顺序地应用多种检测技术，检测处理能够更快地完成。
上述方法可以由至少一个电子装置执行，所述电子装置包括至少一个处理器和记录有指令的存储器。例如，指令在由至少一个处理器执行时使电子装置执行上述方法。
有益效果
如上所述，利用提供的方法和电子装置，能够在快速检测攻击消息的同时保持对于恶意消息检测的鲁棒性，从而减少检测所需的系统资源。
附图说明
图1示出IDS或IDPS在控制器局域网(CAN)上可以部署的位置。
图2为IDPS的示例操作的流程图。
图3为根据本发明的至少一个实施方案的基于历史的检测处理跳过方法的概念图。
图4为根据本发明的至少一个实施方案的用于适应性地改变检测技术的应用顺序的示例技术的概念图。
图5为根据本发明的至少一个实施方案的并行应用三种不同检测技术的方法的概念图。
图6为根据本发明的至少一个实施方案的操作IDS或IDPS的方法的流程图。
图7为根据本发明的另一个实施方案的操作IDS或IDPS的另一个方法的流程图。
图8为根据本发明的又一个实施方案的操作IDS或IDPS的方法的流程图。
图9为汽车开放系统架构(Automotive Open System Architecture，AUTOSAR)或基于AUTOSAR的软件架构的示意图。
图10为根据本发明的至少一个实施方案的配备有IDPS的ECU的软件架构的示意图。
图11为根据本发明的另一个实施方案的配备有IDPS的ECU的另一个软件架构的示意图。
图12为根据本发明的又一个实施方案的配备有IDPS的ECU的又一个软件架构的示意图。
图13为根据本发明的再一个实施方案的配备有IDPS的ECU的再一个软件架构的示意图。
图14为根据本发明的还一个实施方案的配备有IDPS的ECU的还一个软件架构的示意图。
图15示出用于应用比特迷惑(bit stumping)的图10的软件架构的变型。
具体实施方式
下文中，将参考附图对本发明的一些实施方案进行详细描述。在下面的描述中，尽管元件在不同的附图中示出，但是相同的附图标记表示相同的元件。此外，在一些实施方案的以下描述中，为了清楚和简洁的目的，将省略已知功能和其中包括的配置的详细描述。
另外，诸如第一、第二、A、B、(a)、(b)等各种术语仅用于区分一个组件与另一个组件，而不用于隐含或暗示组件的本质、顺序或次序。在整个说明书中，当部件“包括”或“包含”组件时，该部件表示进一步包括其他组件，不排除其他组件，除非有相反的明确说明。诸如“单元”、“模块”等术语表示用于处理至少一个功能或操作的一个或更多个单元，其可以通过硬件、软件或其组合来实现。
图1示出IDS(或IDPS)在控制器局域网(或简称为CAN)上可以部署的位置(例如，
Figure BDA0002523959470000041
和
Figure BDA0002523959470000042
)。示出的中央网关是用作路由器的中央通信节点。中央网关可以视为进入车辆的所有数据的大门。子网关是局域通信节点，每个节点负责特定的子系统域，例如，动力传动系、底盘、车身、多媒体装置等。
各个位置的优点和问题如下。
Figure BDA0002523959470000043
位于中央网关：所有CAN域都连接到外部的位置，可以安装入侵检测和防御系统(Intrusion Detection and Prevention System，IDPS)以检测通过OBD端口进入网络CAN的所有攻击。这允许提前识别具有攻击意图的消息。然而，由于收集了太多消息，难以将对内部网络的侵入式攻击与非侵入式消息区分开，所以难以有效地应对攻击。
Figure BDA0002523959470000044
在中央网关之后：IDPS可以在消息通过中央网关过滤之后检查消息。这允许检测比经过
Figure BDA0002523959470000045
位置之前更少但更确定的攻击。另外，这允许检测外部黑客直接访问骨干网络CAN并注入恶意消息的侵入。
Figure BDA0002523959470000046
位于子网关：对于向特定CAN域发送和从特定CAN域接收的CAN消息进行管理的位置，可以安装IDPS以容易地检测
Figure BDA0002523959470000047
处的CAN消息与在特定CAN域中流动的CAN消息之间的差异。在为了检测从CAN域内部针对另一个域的攻击的这个位置，IDPS很有可能成功地检测到CAN域内部的攻击者。
Figure BDA0002523959470000048
在子网关之后：无法以特定恶意消息通过双重网关轻易地侵入系统的位置。然而，当内部ECU(电子控制单元)被攻击者破坏时，或者当恶意控制器已经引入并冒名顶替作为替换时，以及当外部实体直接连接到相关的CAN总线时，仍然能够发送恶意消息。因此，当内部控制器不可靠并且需要针对控制器所属的特定CAN域的网络侵入进行监测时，该安装位置是合适的。
Figure BDA0002523959470000049
位于控制器：该控制器接收网络上存在的所有消息，并通过检查必要的CAN消息的ID来选择性地处理必要的消息。控制器对从控制器的外部接收到的CAN状态消息和指令消息的上下文进行分析，并且执行这些消息。因为控制器需要免受控制器外部和内部两者的影响，所以要求控制器具有高度的安全性。将IDPS安装于控制器是为了防止由能够篡改控制器的非常高水平的内部/外部攻击者造成的控制器所拥有的关键数据的丢失或故障。
图2为示出IDPS的示例操作的流程图。
IDPS可以配置为在车辆启动时执行预处理，然后重复执行检测处理和后处理，直到车辆熄火为止。
在预处理中，当重新启动时，IDPS检查检测树(detection tree)的版本，如果当前存储在闪存中的IDPS检测树不是最新版本，IDPS利用例如通过OTA或OBD端口下载的规则集的最新版本来对检测树进行更新。此后，IDPS对存储在闪存中的加密的检测树进行解密并将其加载到RAM区域中。当预处理终止时，检测处理开始，检测处理是IDPS的实质性的检测操作。
在检测处理中，IDPS可以响应于新CAN消息到达消息队列来顺序地执行静态检测、误用检测和异常检测技术，以确定新CAN消息是否是与安全威胁相关的网络消息，其称为“安全威胁消息”、“异常消息”、“恶意消息”、“攻击消息”或未通过检查的消息或“未通过的消息”。在各种技术中，执行以下检查。
静态检测是通过将消息ID、数据长度代码(data length code，DLC)、周期等与CAN数据库(CAN DB)中指定的值进行比较来检查CAN消息有效性的技术。误用检测是通过车辆系统的漏洞分析检测已知的攻击消息，并且在其内容分类到恶意消息黑名单时检测消息数据而不需要考虑车辆状态的技术。异常检测是基于车辆的状态来检查相关的消息是否在正常消息类别内的技术，并且异常检测基于车辆的状态和指令消息、通过检测树来执行。
在后处理中，将根据检查CAN消息的结果采取诸如通过、阻止、记录或警告等的操作。例如，IDPS可以通过CAN网络将包含检测日志的CAN消息传递到可以通信联接到远程网络的网关或远程信息处理装置，以便将检测日志发送到远程网络上的后端服务器。
上述入侵检测技术的特征、优点和问题如下。
静态检测是这样一种技术：其用于监测消息ID、消息长度、消息传输周期等，并通过将监测到的数据与预定规则进行比较来检查有效性。因此，通过静态检测能够获得的只是有效性检查，以查看是否符合制造商已经预先确定并存储在CAN DB中的“有效消息格式”。静态检测无法检测到消息中包含的恶意数据等。
误用检测是通过利用系统的已知漏洞定义攻击方法的模式或攻击手段的签名并比较产生的流量的检测技术。误用检测也称为基于签名的检测。误用检测的优势在于，它消耗更少的系统资源并且具有较高的检测可能性，但是它需要为每个新的攻击定义一个新的签名，从而减慢了对新出现的攻击的处理，并需要大量的安全人力资源。该技术可能会导致漏报(false negative)(第2类错误)问题，可能会遗漏实际的攻击。
异常检测是这样一种技术：其用于收集和分析网络上的常规行为，以定义正常模式，然后检测超出正常模式特定阈值的异常行为。异常检测也称为基于简档的检测。通过异常检测，即使发生新的攻击时，如果这种攻击偏离正常模式，也能够检测到，并且相比于误用检测方法，异常检测占用了很少的安全人力资源。但是，可能需要大量系统资源，并且根据预定阈值可能会出现误报(一个或更多个错误)。
根据图2所示的操作，堆积在消息队列中的每个消息都要经历由三种检测技术(即，静态检测→误用检测→异常检测)组成的检测处理，以确定阻止或传递消息。在可以向ECU的软件应用程序发送之前，正常的CAN消息还应该经历由三种技术组成的检测处理。
本发明提供了有效地操作多种检测技术以减少所需的系统资源并同时保持针对恶意消息检测的鲁棒性的各种方法。
第一实施方案-基于历史的检测处理跳过方法
当从车辆网络收集到的新消息与未能通过先前执行的检测处理的安全威胁消息相同或相似时，该方法跳过对所述新消息的多种技术的应用，从而允许快速执行消息阻止确定和阻止操作。
图3为示出根据本发明的至少一个实施方案的基于历史的检测处理跳过方法的概念图。
IDPS(入侵检测和防御系统)运行一个“检测历史库”，其是一个数据库，其中存储了在经历了静态检测、误用检测和异常检测步骤时确定为安全威胁消息的消息(即，未通过的消息)的记录。IDPS利用检测历史库执行预过滤，然后对于新输入的消息执行由现有的三个步骤组成的检测处理。
在预过滤中，IDPS将新消息与存储在检测历史库中的记录进行比较，以确定新消息是否与预先检测到的安全威胁消息相同或相似。如果新消息与预先检测到的安全威胁消息相同或相似，IDPS会跳过执行对于新消息的现有的三步检测处理，并且在将新消息的记录存储在检测历史库中之后立即进入阻止操作阶段。换句话说，如果新消息与预先检测到的安全威胁消息相同或相似，则将新消息视为与安全威胁相关的网络消息。跳过不必要的检测技术的应用能够通过提高整体操作速度来提高整个系统的吞吐量。如下所述，本文中，提到消息是相同的应当理解为表示所述消息在比特级上整体上具有相同的消息帧，并且提到消息是相似的应当理解为表示组成消息帧的一些字段在比特级上相同。
可以采用各种方案将安全威胁消息的记录存储在检测历史库中。作为示例，在存储空间足够的情况下，可以将安全威胁消息的整个帧存储在检测历史库中。在这种情况下，当与新输入的消息进行比较时，预过滤步骤可以比较整个比特流，或者可以选择性地比较帧中的部分字段，例如数据字段、仲裁字段和控制字段。作为另一个示例，仅可以将安全威胁消息的帧中的一些字段(例如，数据字段、仲裁字段和控制字段)选择性地存储在历史库中。
另外，为了提高检索效率，检测历史库可以如下操作。例如，可以向检测历史库中存储的每个安全威胁消息分配唯一的计数器。每当新检测到的安全威胁消息与已经存储在历史库中的消息相同或相似时，该消息的计数器就会递增1。检测历史库中的消息可以基于计数器值以降序进行排序。因此，在检测历史库中，车辆网络中频繁出现的安全威胁消息的记录置顶，而很少出现的安全威胁消息的记录居于下面的位置。这样可以提高在预过滤中对存储在检测历史库中的记录的访问速度。
第二实施方案-基于时间相关性的适应性检测
恶意攻击很可能以通常相似的方式连续地进行尝试而不是随着时间的推移以不同的攻击方式进行尝试。因此，当上述三种检测技术中的任意一种已经检测到攻击消息时，即使对于随后尝试的攻击消息，相同的检测技术也很可能成功检测到。基于这种时间相关性，本发明提供了一种用于适应性地改变检测技术的应用顺序的技术。
图4为根据本发明的至少一个实施方案的用于适应性地改变检测技术的应用顺序的示例技术的概念图。如图4所示，在t＝t0时，对于从消息队列输出的第一消息，检测处理以“静态检测→误用检测→异常检测”的顺序执行。假设在误用检测步骤中已经将第一消息检测为攻击消息。然后，在t＝t0+1时，对于从消息队列输出的第二消息，在静态检测技术之前应用误用检测技术。当异常检测步骤在t＝t0+1时将第二消息检测为攻击消息时，在t＝t0+2时以异常检测技术与静态检测技术交换的位置设置新的应用顺序，以应用于从消息队列输出的第三消息。
图4示出基于检测技术的反向应用顺序的方法，该应用顺序仅取决于在先前时刻检测到安全威胁消息的技术，不过本发明设想了另一种方法，该方法包括：向多个检测技术中的每一个分配计数；任何时候只要以任意检测技术检测成功，就对相关的计数器进行递增；根据计数器的累加值，将检测技术的应用顺序按降序排列。
第三实施方案-并行处理检测方法
该方法是并行应用而不是顺序应用多种检测技术。换句话说，通过并行处理来提高检测速度。
图5为根据本发明的至少一个实施方案的并行应用三种不同检测技术的方法的概念图。如图5所示，同时执行利用不同检测技术的三个线程，并且将存储在消息队列中的CAN消息同时输入到这三个线程。这使得对于CAN消息并行应用了三种不同的检测技术。在图5的示例中，线程1执行静态检测，线程2执行误用检测，线程3执行异常检测。
当通过了所有线程的检测技术时，CAN消息传送到ECU的应用软件组件。当任意一个线程的检测技术没有通过时，CAN消息可能会被阻止向ECU的应用软件组件传送。
这三个线程利用不同的检测技术，并且它们可能具有彼此不同的处理速度。因此，当任意一个线程的结果是未通过时(即，当CAN消息没有通过任意一个线程的检测技术时)，为了不浪费资源，期望提供一种用于终止其他线程的操作并直接进入后处理步骤的配置。为此，三个线程可以其间设置用于停止另一个线程的信令，即，用于传输中断信号的信道。
这三个线程可以利用通知正在处理的CAN消息的“通过”或“未通过”的参数(或指示符)。当从消息队列输入CAN消息时，这三个线程可以将参数P1、P2和P3都设置为零。各个线程可以响应于它们自己的检测方案通过CAN消息而分别将参数Px设置为1。在所有线程完成之后，仅当所有参数Px的值均为1时，CAN消息才可以发送给ECU的应用软件组件。
相比于图2所示的顺序应用方法，通过将不同技术并行应用于CAN消息，可以更快地完成整个检测处理，从而可以快速应对攻击消息。
下文中，将参考图6至图9描述通过采用前述方法来操作IDS或IDPS的方法。
图6为根据本发明的至少一个实施方案的操作IDS(入侵检测系统)或IDPS的方法的流程图。
如图6所示，IDS确定从车载网络收集到的新网络消息是否是与预先检测为与安全威胁相关的网络消息相同或相似的消息(步骤S610)。为此，IDS可以查询具有标识预先检测到的安全威胁消息的信息的记录的数据库，以确定新网络消息是否具有与标识预先检测到的安全威胁消息的信息相对应的信息。标识预先检测到的安全威胁消息的信息可以是安全威胁消息的整个帧或相同帧的部分字段。
当新网络消息与预先检测到的安全威胁消息不同或不相似时(步骤S620中的“否”)，IDS将多种检测技术应用于新网络消息，以确定该新网络消息是否是与安全威胁相关的网络消息(步骤S630)。多种检测技术包括静态检测、误用检测以及异常检测。
当新网络消息与预先检测到的安全威胁消息相同或相似时(步骤S620中的“是”)，IDS跳过对新网络消息的多种检测技术的应用，并立即将新网络消息确定或认为是与安全威胁相关的网络消息(步骤S640)。
图7为根据本发明的另一个实施方案的操作IDS(或IDPS)的另一个方法的流程图。
如图7所示，IDS基于从车载网络收集到的网络消息中与安全威胁相关的网络消息的成功检测的检测成功历史来进行操作，以确定要应用于从车载网络收集到的新网络消息的多种检测技术的应用顺序(步骤S710)。多种检测技术包括静态检测、误用检测以及异常检测。因此，IDS可以改变多种检测技术的应用顺序，使得成功检测到与安全威胁相关的网络消息的检测技术比要应用于网络消息的其他检测技术具有优先级。对于多种检测技术中的每一种，IDS可以对成功检测到与安全威胁相关的网络消息的累计次数进行计数，并且可以以多种检测技术中的各个检测技术的累计次数的降序来改变检测技术的应用顺序。
通过以确定后的应用顺序来应用检测技术，IDS响应于从车载网络收集到的新网络消息来确定新网络消息是否是与安全威胁相关的网络消息(步骤S720)。
图8为根据本发明的又一个实施方案的操作IDS(或IDPS)的方法的流程图。
IDS对于从车载网络收集到的网络消息并行启动多种检测技术的应用(步骤S810)。例如，这可以通过利用不同的检测技术同时执行多个线程并分别在多个线程中输入收集到的网络消息来实现。多种检测技术包括静态检测、误用检测和异常检测。
响应于多种并行应用的检测技术中的任意一种将收集到的网络消息确定为与安全威胁相关的网络消息，IDS停止向收集到的网络消息应用其余的检测技术(步骤S820)。为此，作为示例，将收集到的网络消息确定为与安全威胁相关的网络消息的线程向其他线程发送中断信号，其他线程响应于接收到中断信号而终止其执行。
响应于多种检测技术全部确定出该网络消息不是与安全威胁相关的网络消息，IDS可以允许向应用区域传送网络消息。
下面描述用于在具有基于汽车开放计划系统架构(Automotive Open PlanSystem Architecture，AUTOSAR)的软件架构的ECU(电子控制单元)中实现IDPS或IDS的各种方法。
首先，参考图9，将简要描述ECU的基于AUTOSAR的软件架构。图9为基于AUTOSAR的软件架构的示意图。
AUTOSAR的软件架构具有分层的结构，该结构划分为应用软件(applicationsoftware，ASW)层、运行时环境(run time environment，RTE)层和基础软件(basicsoftware，BSW)层。换句话说，通过引入用于将应用程序软件与硬件相关的软件BSW分开的RTE概念，可以开发独立于硬件的应用程序软件。特别地，BSW由服务层、ECU抽象层(ECUabstraction layer，EAL)、微控制器抽象层(microcontroller abstraction layer，MCAL)和复杂设备驱动(complex device driver，CDD)层组成。
在服务层中，存在执行服务功能的模块，例如，存储器、通信网络、系统等。在通信网络服务方面，为了提供抵御对底层通信硬件的依赖性的独立于硬件的统一接口，存在用于CAN/LIN/FlexRay通信网络的模块，例如，网络管理器(network manager，NM)、状态管理器(state manager，SM)、传输(transport，TP)、诊断通信管理器(diagnosticcommunication manager，DCOM)、通信(communication，COM)以及协议数据单元(protocoldata unit，PDU)或PDU路由器(PDUR)的模块。具体地，在PDUR模块的上层中存在通信(COM)模块，负责路由由消息组成的信号，这为RTE提供了统一的通信方法。
MCAL区域是具有硬件依赖性的软件模块，并且由OSI数据链路层的通信驱动器、模数I/O规则驱动器(例如ADC，PWM和DIO)、存储器驱动器(例如，EEPROM和闪存)、外围微控制器的装置驱动器等组成。CDD区域用于诸如动力传动系的燃油喷射、电子阀控制、变速箱控制等未进行标准化的区域。
构成基础软件(basic software，BSW)每一层的各个模块之间的通信所涉及的模块的集合称为通信堆栈(communication stack，com-stack)。为了易于理解，在通信堆栈(com-stack)中，图6专注于控制器局域网或CAN相关的模块。涉及CAN消息的传送的BSW的模块是通信(COM)、协议数据单元路由器(PDUR)、CAN接口(CAN IF)、CAN驱动程序(CAN Drv)等。
当ASW层的软件组件(即，ECU APP)向网络CAN发送数据时，数据在经过RTE、COM、PDUR和CAN IF之后从CAN Drv发送到CAN总线。发送的数据由连接到CAN总线的所有ECU的CAN Drv接收，并且CAN Drv通过确认CAN ID(消息ID)检查是否应该接收数据，如果是，则通过CAN IF、PDUR、COM和RTE将数据发送到应用软件组件(ECU APP)。
现在将描述为图9所示的基于AUTOSAR的软件架构安装IDPS(入侵检测和防御系统)的各种方法。以下描述的方法可以大体上相同地应用于安装IDS(入侵检测系统)。
上述静态检测基于消息来执行，误用检测和异常检测基于信号来执行。另外，与静态检测相反，误用检测和异常检测可以称为动态检测。在以下描述中，术语“静态检测”和“基于消息的检测”可以互换地使用，术语“动态检测”和“基于信号的检测”可以互换地使用。
第一实施方案-在并行检测后发送阻止信号
图10为根据本发明的至少一个实施方案的配备有IDPS的ECU的软件架构的示意图。如图10所示，该实施方案具有安装有执行静态检测(基于消息的检测)的IDPS模块的CDD区域。执行动态检测(基于信号的检测)的另一个IDPS模块可以安装在CDD区域或ASW区域中。
在该实施方案中，按照原样保持com-stack上的典型CAN消息处理过程，并且在将CAN消息从MCAL区域中的CAN Drv传送到CDD区域中的IDPS模块的同时开始检测。当CAN消息传送到CDD区域中的IDPS模块时，IDPS模块执行静态检测。当CDD区域包括IDPS的动态检测模块时，静态检测和动态检测可以同时执行。当静态检测和动态检测将CAN消息确定为与安全威胁相关的消息时，IDPS模块向PDUR模块发送消息阻止请求信号。
当根据CAN消息处理过程将CAN消息从CAN IF传输到PDUR模块之前消息阻止请求信号到达PDUR模块时，CAN消息可能会被PDUR模块阻止。另一方面，当CAN消息到达PDUR的时间早于消息阻止请求信号时，CAN消息不会被阻止。
本实施方案的方法按照原样保持CAN消息处理过程，这允许在不增加CAN消息处理过程的延迟的情况下阻止安全威胁消息。然而，这涉及CDD区域中用于执行动态检测的大量资源负荷。还需要额外的接口，以将消息阻止请求信号从IDPS发送到PDUR模块。为了阻止安全威胁消息，应该在CAN消息到达PDUR模块之前先出现消息阻止请求信号。因此，扩展的检测处理可能会导致不成功的阻止。
第二实施例-仅并行检测的方法
图11为根据本发明的另一个实施方案的配备有IDPS的ECU的另一个软件架构的示意图。如图11所示，本实施方案具有形成有IDPS消息队列的CDD区域，CAN消息在该IDPS消息队列中排队；以及应用软件(ASW)区域，其安装有用于执行静态检测和动态检测的IDPS检测模块。
在该实施方案中，按照原样保持com-stack上的典型CAN消息处理过程，并且将CAN消息从MCAL区域中的CAN驱动程序向CDD区域中的IDPS排队模块传输。当CAN消息存储在IDPS消息队列中时，ASW区域中的IDPS检测模块从消息队列接收CAN消息并执行检测。ASW区域中的IDPS检测模块可以同时执行静态检测和动态检测。有利地，该方法没有消息延迟，但是它仅专用于检测。
第三实施方案-消息中断阻止方案
图12为根据本发明的又一个实施方案的配备有IDPS的ECU的又一个软件架构的示意图。
在本实施方案中，在com-stack上的CAN消息处理过程中，当CDD区域中的至少一个IDPS中断正在从MCAL区域中的CAN Drv发送到EAL区域中的CAN IF的CAN消息时，检测开始。在接收到传送的CAN消息时，CDD区域中的IDPS检测模块执行静态检测。IDPS的动态检测模块可以嵌入在CDD区域或ASW区域中，并且在CDD区域包括IDPS的动态检测模块的情况下，CDD区域可以使静态检测和动态检测两者在其中执行。在以静态检测和/或动态检测方式检测到安全威胁消息时，IDPS检测模块不会向EAL区域中的CAN IF模块传送CAN消息。不传输CAN消息会中断现有的CAN消息处理过程。
本申请的至少一个实施方案具有阻止安全威胁消息的较高的成功可能性的优势。然而，由于使用中断而导致消息延迟，并且从IDPS到CAN IF的CAN消息传送需要附加接口。另外，动态检测可以在CDD区域中执行，但是涉及较大的负荷。
第四实施方案—修改AutoSAR模块
图13为根据本发明的再一个实施方案的配备有IDPS的ECU的再一个软件架构的示意图。
在本实施方案中，在现有的AUTOSAR平台中定义的CAN IF模块中执行静态检测，而在COM服务模块中执行动态检测。该方法修改了构成AUTOSAR平台的com-stack的标准化模块(即，CAN IF和COM)，因此，不同于利用CDD区域的情况，中断不是必要的，并且可以执行安全威胁消息的检测和阻止。但是，在整个消息处理过程中可能会出现延迟，并且在AUTOSAR平台的标准化模块(即CAN IF和COM)内实现IDPS模块需要与相关方合作。
第五实施方案-利用多核专用驱动器
图14为根据本发明的还一个实施方案的配备有IDPS的ECU的还一个软件架构的示意图。
在该实施方案中，按照原样进行在com-stack上的CAN消息处理过程，并且在将CAN消息从MCAL区域中的CAN Drv传输到IDPS专用核心(第二核心)的共享存储器的同时开始检测。在接收到传送的CAN消息后，IDPS执行静态检测和动态检测(同时)。本实施方案的优点在于，它不增加CAN消息处理过程的延迟，并且利用单独的核心(第二核心)，使得执行现有CAN消息处理过程的第一核心上的负荷较小。但是，该方法实施起来价格昂贵，并且仅专用于检测。
第六实施方案-通过比特迷惑(bit stumping)阻止安全威胁消息
通过在检测到安全威胁消息时将信号强制发送到现有的使用中的总线上，从而造成消息帧错误，比特迷惑可以用作使安全威胁消息无效的阻止方法。安全威胁消息阻止方法可以分别与参考图10至图14描述的方法结合。
图15示出用于应用比特迷惑(bit stumping)的图10的软件架构的第一实施方案的变型。如图15所示，利用比特迷惑需要其他硬件，例如，从IDPS连接到CAN总线的I/O端口。
应该理解，上述示例性实施方案可以以许多不同的方式实现。在一些示例中，本发明中描述的各种方法、装置、系统可以由具有处理器、存储器、通信接口等的电子控制器、网关等实现或包括在其中。例如，电子控制器可以用作这样的装置：其通过将软件指令加载到处理器中然后执行该指令以执行本发明中描述的功能从而执行上述方法。
另一方面，本发明中描述的各种方法可以利用存储在非暂时性记录介质中的指令来实现，该指令可以由一个或更多个处理器读取和执行。例如，非暂时性记录介质包括数据以计算机系统可读的形式存储在其中的各种记录装置。通过示例而非限制性的方式，非暂时性记录介质包括诸如可擦除可编程只读存储器(EPROM)、电可擦除可编程只读存储器(EEPROM)、闪存、光学驱动器、磁硬盘驱动器、固态驱动器(SSD)。
尽管出于说明的目的已经描述了本发明的示例性实施方案，但是本领域技术人员应当理解，能够进行各种修改、添加和删除，而不脱离本发明的构思和范围。因此，为了简洁和清楚起见，已经描述了本发明的示例性实施方案。这些实施方案的技术构思的范围不受说明的限制。因此，本领域的普通技术人员应当理解，所要求保护的发明的范围不受上述明确描述的实施方案的限制，而是由权利要求及其等同形式限制。
相关申请的交叉引用
本专利申请要求2017年12月19日提交的专利申请US 62/607,595的优先权，该申请的全部内容通过引用并入本文。

Claims (20)

1.一种向车载网络提供安全性的方法，所述方法包括：
确定从车载网络收集到的新网络消息是否与预先检测到的安全威胁消息彼此相同或相似；
当新网络消息与预先检测到的安全威胁消息彼此相同或相似时，跳过对新网络消息应用多种检测技术，并且立即将该新网络消息视为安全威胁消息。
2.根据权利要求1所述的方法，进一步包括：
当新网络消息与预先检测到的安全威胁消息彼此不相同或不相似时，对新网络消息应用多种检测技术，并且确定该新网络消息是否为安全威胁消息。
3.根据权利要求2所述的方法，其中，确定新网络消息是否与预先检测到的安全威胁消息彼此相同或相似包括：
查询数据库，该数据库具有标识预先检测到的安全威胁消息的信息的记录；
确定新网络消息是否具有与标识预先检测到的安全威胁消息的信息相对应的信息。
4.根据权利要求3所述的方法，进一步包括：
响应于将新网络消息确定为或视为安全威胁消息而对数据库进行更新。
5.根据权利要求3所述的方法，其中，记录在数据库中并且标识预先检测到的安全威胁消息的信息包括：
安全威胁消息的整个帧或该帧的部分字段。
6.根据权利要求1所述的方法，其中，所述车载网络包括：
控制器局域网。
7.根据权利要求1所述的方法，其中，所述多种检测技术包括：静态检测、误用检测以及异常检测。
8.一种向车载网络提供安全性的方法，所述方法包括：
确定要应用于从车载网络收集到的新网络消息的多种检测技术的应用顺序；
以确定出的应用顺序对新网络消息应用多种检测技术，并且确定所述新网络消息是否为安全威胁消息。
9.根据权利要求8所述的方法，其中，所述多种检测技术的应用顺序基于应用于先前从车载网络收集到的至少一个网络消息的多种检测技术的检测历史而确定。
10.根据权利要求8所述的方法，其中，确定多种检测技术的应用顺序包括：
改变多种检测技术的应用顺序，使得曾经成功检测到安全威胁消息的检测技术比要应用于新网络消息的其他检测技术具有优先级。
11.根据权利要求8所述的方法，其中，确定多种检测技术的应用顺序包括：
对于多种检测技术中的每一种，对成功检测到安全威胁消息的累计次数进行计数；
对多种检测技术中的各种检测技术，根据累计次数的降序来改变多种检测技术的应用顺序。
12.根据权利要求8所述的方法，其中，所述多种检测技术包括：静态检测、误用检测以及异常检测。
13.一种向车载网络提供安全性的方法，所述方法包括：
启动对从车载网络收集到的网络消息的多种检测技术的并行应用；
响应于多种检测技术中的任意一种检测技术将收集到的网络消息确定为安全威胁消息，停止对收集到的网络消息应用其余检测技术。
14.根据权利要求13所述的方法，进一步包括：
响应于多种检测技术全部都确定出收集到的网络消息不是安全威胁消息，允许向软件应用程序传送收集到的网络消息。
15.根据权利要求13所述的方法，其中，启动多种检测技术的并行应用包括：
利用不同的检测技术同时执行多个线程；
将收集到的网络消息分别输入到多个线程中。
16.根据权利要求15所述的方法，其中，所述多个线程中的每个线程配置为：响应于将收集到的网络消息确定为安全威胁消息，向其他线程发送中断信号；响应于从其他线程接收到中断信号，停止所述每个线程进一步执行。
17.根据权利要求13所述的方法，其中，所述多种检测技术包括：静态检测、误用检测以及异常检测。
18.一种用于向车载网络提供安全性的电子装置，所述电子装置包括：
一个或更多个处理器；以及
存储器，其中存储有指令，当由一个或更多个处理器执行时，所述指令使所述电子装置执行以下步骤：
确定从车载网络收集到的新网络消息是否与预先检测到的安全威胁消息彼此相同或相似；
当新网络消息与预先检测到的安全威胁消息彼此相同或相似时，跳过对新网络消息应用多种检测技术，并且立即将该新网络消息视为安全威胁消息。
19.一种用于向车载网络提供安全性的电子装置，所述电子装置包括：
一个或更多个处理器；以及
存储器，其中存储有指令，当由一个或更多个处理器执行时，所述指令使所述电子装置执行以下步骤：
确定要应用于从车载网络收集到的新网络消息的多种检测技术的应用顺序；
以确定出的应用顺序对新网络消息应用多种检测技术，并且确定所述新网络消息是否为安全威胁消息。
20.一种用于向车载网络提供安全性的电子装置，所述电子装置包括：
一个或更多个处理器；以及
存储器，其中存储有指令，当由一个或更多个处理器执行时，所述指令使所述电子装置执行以下步骤：
启动对从车载网络收集到的网络消息的多种检测技术的并行应用；
响应于多种检测技术中的任意一种检测技术将收集到的网络消息确定为安全威胁消息，停止对收集到的网络消息应用其余检测技术。
CN201880078471.0A 2017-12-19 2018-12-19 用于提供安全的车载网络的系统及方法 Active CN111448787B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201762607595P 2017-12-19 2017-12-19
US62/607,595 2017-12-19
PCT/KR2018/016243 WO2019124976A1 (ko) 2017-12-19 2018-12-19 차량 내 네트워크에 보안을 제공하는 시스템 및 방법

Publications (2)

Publication Number Publication Date
CN111448787A true CN111448787A (zh) 2020-07-24
CN111448787B CN111448787B (zh) 2024-02-06

Family

ID=66994939

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201880078471.0A Active CN111448787B (zh) 2017-12-19 2018-12-19 用于提供安全的车载网络的系统及方法

Country Status (5)

Country Link
US (1) US11729183B2 (zh)
EP (1) EP3726796A4 (zh)
KR (1) KR102642863B1 (zh)
CN (1) CN111448787B (zh)
WO (1) WO2019124976A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953575A (zh) * 2020-07-31 2020-11-17 中科领目(常州)智能科技有限公司 一种适用于异构多核芯片的can协议栈系统及配置方法

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3889782A4 (en) * 2018-11-30 2022-01-19 Panasonic Intellectual Property Corporation of America VEHICLE LOG TRANSMISSION DEVICE, VEHICLE LOG ANALYSIS SERVER, VEHICLE LOG ANALYSIS SYSTEM AND VEHICLE LOG TRANSMISSION/RECEPTION METHOD
US11539724B2 (en) * 2019-12-17 2022-12-27 Upstream Security, Ltd. Centralized detection techniques for cyber-attacks directed at connected vehicles
US11310270B1 (en) * 2020-10-14 2022-04-19 Expel, Inc. Systems and methods for intelligent phishing threat detection and phishing threat remediation in a cyber security threat detection and mitigation platform
KR102471960B1 (ko) * 2020-11-18 2022-11-30 한국자동차연구원 차량용 can 통신 보안 장치 및 방법
FR3121528A1 (fr) * 2021-03-30 2022-10-07 Psa Automobiles Sa Procédé et dispositif de détection d’une intrusion sur un bus de données d’un véhicule
FR3122748B1 (fr) * 2021-05-06 2024-03-08 Psa Automobiles Sa Procédé et dispositif de protection contre une intrusion sur un bus de données d’un véhicule
KR102481219B1 (ko) 2022-01-25 2022-12-26 쌍용자동차 주식회사 차량 보안 관리서버를 이용한 차량 소프트웨어 업데이트 시스템 및 방법

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105050868A (zh) * 2012-10-17 2015-11-11 安全堡垒有限责任公司 用于检测和防止对交通工具的攻击的设备
JP2016045736A (ja) * 2014-08-22 2016-04-04 株式会社日立製作所 セキュリティ設計支援装置およびセキュリティ設計支援方法
CN105791266A (zh) * 2015-01-13 2016-07-20 通用汽车环球科技运作有限责任公司 用于基于反射测量法的通信网络监测、入侵检测以及消息认证的方法和系统
CN106878130A (zh) * 2017-03-14 2017-06-20 成都雅骏新能源汽车科技股份有限公司 一种电动汽车can网络异常检测方法及装置
CN107305717A (zh) * 2016-04-21 2017-10-31 北京新岸线数字图像技术有限公司 一种纸币识别检测方法及装置
CN109150846A (zh) * 2018-07-27 2019-01-04 北京梆梆安全科技有限公司 车辆入侵检测方法及车辆入侵检测装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
GB2432934B (en) * 2006-03-14 2007-12-19 Streamshield Networks Ltd A method and apparatus for providing network security
US8832836B2 (en) * 2010-12-30 2014-09-09 Verisign, Inc. Systems and methods for malware detection and scanning
US9110101B2 (en) * 2012-02-17 2015-08-18 Vencore Labs, Inc. Method and system for packet acquisition, analysis and intrusion detection in field area networks
US9183385B2 (en) 2012-08-22 2015-11-10 International Business Machines Corporation Automated feedback for proposed security rules
US11165851B2 (en) * 2015-06-29 2021-11-02 Argus Cyber Security Ltd. System and method for providing security to a communication network
US10798114B2 (en) 2015-06-29 2020-10-06 Argus Cyber Security Ltd. System and method for consistency based anomaly detection in an in-vehicle communication network
JP6173541B2 (ja) * 2015-10-09 2017-08-02 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ セキュリティ装置、攻撃検知方法及びプログラム
US11044260B2 (en) * 2016-04-01 2021-06-22 The Regents Of The University Of Michigan Fingerprinting electronic control units for vehicle intrusion detection
US10262137B1 (en) * 2016-06-30 2019-04-16 Symantec Corporation Security recommendations based on incidents of malware

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105050868A (zh) * 2012-10-17 2015-11-11 安全堡垒有限责任公司 用于检测和防止对交通工具的攻击的设备
JP2016045736A (ja) * 2014-08-22 2016-04-04 株式会社日立製作所 セキュリティ設計支援装置およびセキュリティ設計支援方法
CN105791266A (zh) * 2015-01-13 2016-07-20 通用汽车环球科技运作有限责任公司 用于基于反射测量法的通信网络监测、入侵检测以及消息认证的方法和系统
CN107305717A (zh) * 2016-04-21 2017-10-31 北京新岸线数字图像技术有限公司 一种纸币识别检测方法及装置
CN106878130A (zh) * 2017-03-14 2017-06-20 成都雅骏新能源汽车科技股份有限公司 一种电动汽车can网络异常检测方法及装置
CN109150846A (zh) * 2018-07-27 2019-01-04 北京梆梆安全科技有限公司 车辆入侵检测方法及车辆入侵检测装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
王振辉;: "基于Agent的内部威胁实时检测框架", 计算机系统应用, no. 06 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111953575A (zh) * 2020-07-31 2020-11-17 中科领目(常州)智能科技有限公司 一种适用于异构多核芯片的can协议栈系统及配置方法

Also Published As

Publication number Publication date
US11729183B2 (en) 2023-08-15
EP3726796A4 (en) 2022-01-19
KR20200090788A (ko) 2020-07-29
CN111448787B (zh) 2024-02-06
WO2019124976A1 (ko) 2019-06-27
KR102642863B1 (ko) 2024-02-29
US20210176259A1 (en) 2021-06-10
EP3726796A1 (en) 2020-10-21

Similar Documents

Publication Publication Date Title
CN111448787B (zh) 用于提供安全的车载网络的系统及方法
Aliwa et al. Cyberattacks and countermeasures for in-vehicle networks
KR102642875B1 (ko) 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
Carsten et al. In-vehicle networks: Attacks, vulnerabilities, and proposed solutions
US11252180B2 (en) System and method for content based anomaly detection in an in-vehicle communication network
JP6846706B2 (ja) 監視装置、監視方法およびコンピュータプログラム
US20190182267A1 (en) Vehicle security manager
US10326793B2 (en) System and method for guarding a controller area network
US11036853B2 (en) System and method for preventing malicious CAN bus attacks
US20190332823A1 (en) Intrusion response apparatus and method for vehicle network
KR101853676B1 (ko) 차량 침입 탐지 장치 및 방법
JP7255710B2 (ja) 攻撃監視用センター装置、及び攻撃監視用端末装置
JP2023515379A (ja) 車両内ネットワークに対する侵入検知のためのシステム及びその実行方法
US20200183373A1 (en) Method for detecting anomalies in controller area network of vehicle and apparatus for the same
Souma et al. Counter attacks for bus-off attacks
JP2021140460A (ja) セキュリティ管理装置
US20220019661A1 (en) Log analysis device
JP6913869B2 (ja) 監視装置、監視システムおよびコンピュータプログラム
KR20210103972A (ko) 차량 내 네트워크에 대한 침입 탐지를 위한 시스템 및 방법
CN115016426A (zh) fail-safe失效安全系统，方法，储存器及汽车
EP3809731A1 (en) Advanced intrusion prevention manager

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant