CN111970229B - 一种针对多种攻击方式的can总线数据异常检测方法 - Google Patents

Abstract

一种针对多种攻击方式的CAN总线数据异常检测方法，分为建立正常数据集和异常检测两个阶段，在孤立森林训练阶段，形成正常数据的数据集，根据固定消息数量的滑动窗口计算标识符ID的信息熵，将正常信息熵与滑动窗口内各个ID对应数据训练孤立森林；在异常检测阶段，对于滑动窗口中固定消息数量的ID与不同ID的数据计算异常分数，并做出是否进行异常警报的决定。本发明所提出的基于信息熵与孤立森林框架的汽车CAN数据异常检测模型，可以检测多种针对CAN总线的攻击方式，通过对孤立森林算法中异常分数的计算方法进行改进，避免原计算方法对于局部异常不敏感的缺点，进而实现效率和准确率都较高的异常检测，有利于汽车安全驾驶与正常工作。

Description

一种针对多种攻击方式的CAN总线数据异常检测方法

技术领域

涉及汽车车载网络异常检测技术，具体涉及一种基于孤立森林的汽车CAN总线网络数据异常检测方法。

背景技术

在汽车智能化和网联化快速发展的同时，汽车信息安全问题频频发生。目前，攻击者可以通过汽车与外界的接口进行物理攻击和远程攻击，这些接口包括OBD、充电接口、APP以及无线访问接口等。攻击者采用重放、DOS、篡改、fuzz等攻击方式入侵车载网络，进而获取对车辆的控制权或者干扰汽车的正常运行，造成汽车失控等严重后果。车载网络中应用最普遍的车载网络是CAN(Controller Area Network)总线，CAN总线具有广播发送、消息仲裁等特性，且无消息、身份协议认证，消息不经加密直接传输，容易遭受各种攻击。因此车载网络需要较为可靠的安全防护方法。

目前常用的车载网络安全防护方法主要有加密认证、第三方可信软件或平台、诊断端口访问控制与异常检测系统等等。其中，异常检测系统是部署最快且成本效益最好的解决方案。常见的车载网络异常检测方法可以分为三类：基于统计的方法、基于分类的方法和基于聚类的方法。基于统计的方法对数据的分布要求较高，且在高维数据中检测性能表现较差；基于分类的方法需要正负向的样本标记，对样本质量的要求比较高；基于聚类的方法需要预先确定聚类数量，结合离群点检测进行异常数据分析。

基于孤立森林算法的异常检测方法可以有效识别出全局异常的数据，但是对于局部异常数据不够敏感。因此考虑改进异常分数的计算方法，将节点数据数量比引入到计算式中，提高对局部异常点的敏感度。

发明内容

该方法分为建立正常数据集和异常检测两个阶段，实现对于CAN总线数据的篡改、重放、Dos、fuzz等攻击的检测。具体实施方法如下：

一种针对多种攻击方式的CAN总线数据异常检测方法，其特征在于，包含以下步骤：

步骤1：根据固定消息数量的滑动窗口计算标识符ID的信息熵，将所得到的信息熵与滑动窗口内各个ID对应的数据训练孤立森林；

步骤2：对于固定消息数量的滑动窗口中的ID与不同ID对应的数据计算改进异常分数，并做出是否进行异常警报的决定。

进一步的，所述的步骤1中设置固定消息数量的滑动窗口的方法包括以下步骤：

S11，计算所有ID的最大周期，所选择的滑动窗口大小应大于最大周期，尽量保证存在一个滑动窗口中每个ID的数据出现两次；

S12，确定需要达到的最小响应时间，即从发生攻击到响应攻击应达到的最小时间间隔，所选择的滑动窗口大小应满足在最小响应时间内完成异常检测过程。

进一步的，所述的S12中滑动窗口的最大值确定的方法如下：

Window_size·f+t_calculate≤t_response

整理得

进一步的，所述的步骤1中滑动窗口的最值确定的方法如下：

进一步的，所述的步骤1中信息熵的计算方法如下：

其中，

进一步的，所述的步骤1中孤立森林的建立方法包括以下步骤：

S11，对滑动窗口的id信息熵和id分类后的数据集构建孤立树，孤立树的建立过程如下：

S111，将当前滑动窗口的id信息熵和id分类后的数据放入树的根节点；

S112，随机指定一个特征(对于ID信息熵来说只有一个特征，直接选择即可)，并在当前特征的所有范围内随机生成一个值划分值value_split，value_split是在该特征范围的最大值和最小值之间随机产生的；

S113，根据value_split对所有值进行划分，指定该特征所有中小于value_split的数据被放在当前节点的左子节点中，大于或等于value_split的数据被放在当前节点的右子节点中；

S114，在生成的左右子节点中，重复步骤S112和步骤S113对子节点进行更新，直到达到终止条件。终止条件有两个，一个是节点中只有一个数据；另一个是节点中所有数据具有相同的值。

S12，滑动窗口随时间的推移向后滑动，直到滑动窗口滑动至末端，此时完成构建t棵孤立树，形成ID信息熵和各个ID所对应数据分离的孤立森林模型。

进一步的，所述的步骤2中改进异常分数的计算方法包括以下步骤：

S21，在待测数据中进行滑动窗口的设定，并令每一条数据与滑动窗口中ID的信息熵遍历孤立森林中的每棵孤立树；

S22，利用改进异常分数的计算式得到异常分数的值。

进一步的，所述的S22中改进异常分数的计算式如下：

其中，h(x)是数据所在子节点的层数，即在遍历过程中划分的次数；n是根节点中的数据总数；r_m是父节点与子节点中数据数量比值的最大值。

进一步的，所述的r_m的计算方法如下所示：

其中，

是x落入节点的父节点中的数据数量，m(L_i(x))是x落入节点的数据数量。

进一步的，所述的s(x)的值有两种不同的情况：

当h(x)→0，r_m→0时，s(x)→0，此时判断数据x为异常；

当h(x)→n，r_m→1时，

，如果n足够大，s(x)→0，此时判断数据x为正常。

相比其他已有的方法，本发明所采用的算法有以下特点：

(1)本方法改进原有的孤立森林算法，通过对异常分数计算方法的改进，引入节点数据数量比到计算式中，改善原有方法对于局部异常不敏感的缺点，实现对于篡改攻击的较为全面和准确的检测。

(2)本方法采用滑动窗口处理流式数据，实现对于在线数据的异常检测，对于滑动窗口中标识符ID进行信息熵的计算，来判断是否发生DoS攻击、重放攻击和fuzz攻击。

(3)本方法将不同攻击方法整合为对于异常值的判断，而这个判断过程是通过一个孤立森林框架进行实现的，避免多次数据处理，具有处理速度快、响应速度快等特点。

附图说明

图1为本发明所提出的CAN总线异常检测方法的流程图。

图2为数据经过孤立树的示意图。

图3为在实例中使用原有异常分数计算方法计算得到的异常分数示意图。

图4为在实例中使用改进异常分数计算方法计算得到的异常分数示意图。

图5为正常无攻击情况下，滑动窗口中标识符ID信息熵的值。

图6为fuzz攻击情况下，滑动窗口中标识符ID信息熵的值。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

下面将结合附图和实例对本发明作进一步的详细说明。

如图1所示，一种针对多种攻击方式的CAN总线数据异常检测方法包含两个阶段：训练孤立森林阶段和异常检测阶段。

训练孤立森林：根据固定消息数量的滑动窗口计算标识符ID的信息熵，将所得到的信息熵与滑动窗口内各个ID对应的数据训练孤立森林；

异常检测阶段：固定消息数量的滑动窗口中的ID与不同ID对应的数据流入孤立森林中对应的孤立树，计算相应的改进异常分数，并做出是否进行异常警报的决定。

步骤1中设置固定消息数量的滑动窗口的方法包括以下步骤：

S11，计算所有ID的最大周期，所选择的滑动窗口大小应大于最大周期，尽量保证存在一个滑动窗口中每个ID的数据出现两次；

S12，确定需要达到的最小响应时间，即从发生攻击到响应攻击应达到的最小时间间隔，所选择的滑动窗口大小应满足在最小响应时间内完成异常检测过程。

上述S12中滑动窗口的最大值确定的方法如下：

Window_size·f+t_calculate≤t_rgsponse

整理得

上述步骤1中滑动窗口的最值确定的方法如下：

上述步骤1中信息熵的计算方法如下：

其中，

孤立森林是由一系列孤立树组成的，每棵孤立树都是通过如图2所示的划分过程形成的。上述步骤1中孤立森林的建立方法包括以下步骤：

S11，对滑动窗口的id信息熵和id分类后的数据集构建孤立树，孤立树的建立过程如下：

S111，将当前滑动窗口的id信息熵和id分类后的数据放入树的根节点；

S112，随机指定一个特征(对于ID信息熵来说只有一个特征，直接选择即可)，并在当前特征的所有范围内随机生成一个值划分值value_split，value_split是在该特征范围的最大值和最小值之间随机产生的；

S113，根据value_split对所有值进行划分，指定该特征所有中小于value_split的数据被放在当前节点的左子节点中，大于或等于value_split的数据被放在当前节点的右子节点中；

S114，在生成的左右子节点中，重复步骤S112和步骤S113对子节点进行更新，直到达到终止条件。终止条件有两个，一个是节点中只有一个数据；另一个是节点中所有数据具有相同的值。

S12，滑动窗口随时间的推移向后滑动，直到滑动窗口滑动至末端，此时完成构建t棵孤立树，形成ID信息熵和各个ID所对应数据分离的孤立森林模型。

原始孤立森林算法仅以待测点被划分的次数作为异常分数的一个决定要素，会出现误报情况，如图3所示，n₁和n₂是正常数据，而a₁和a₂是局部异常点，图中的条状图是异常分数的值。可以发现在n₂边缘数据的异常分数高于a₁的异常分数，造成误报的情况。应用改进后的异常分数进行计算后，消除了误报的情况，如图4所示，n₁和n₂中所有数据的异常分数均低于a₁和a₂的异常分数。

上述步骤2中改进异常分数的计算方法包括以下步骤：

S21，在待测数据中进行滑动窗口的设定，并令每一条数据与滑动窗口中ID的信息熵遍历孤立森林中的每棵孤立树；

S22，利用改进异常分数的计算式得到异常分数的值。

进一步的，所述的S22中改进异常分数的计算式如下：

其中，h(x)是数据所在子节点的层数，即在遍历过程中划分的次数；n是根节点中的数据总数；r_m是父节点与子节点中数据数量比值的最大值。

进一步的，所述的r_m的计算方法如下所示：

其中，

是x落入节点的父节点中的数据数量，m(L_i(x))是x落入节点的数据数量。

进一步的，所述的s(x)的值有两种不同的情况：

当h(x)→0，r_m→n时，s(x)→1，此时判断数据x为异常；

当h(x)→n，r_m→1时，

如果n足够大，s(x)→0，此时判断数据x为正常。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。

需要说明的是，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明作出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (5)

1.一种针对多种攻击方式的CAN总线数据异常检测方法，其特征在于，包含以下步骤：

步骤1：根据固定消息数量的滑动窗口计算标识符ID的信息熵，将所得信息熵与滑动窗口内各个ID对应的数据训练孤立森林；

步骤2：对于固定消息数量的滑动窗口中的ID与不同ID 对应的数据计算异常分数，并做出是否进行异常警报的决定；

所述的异常分数的计算方法包括以下步骤：

S21，在待测数据中进行滑动窗口的设定，并令每一条数据与滑动窗口中ID的信息熵遍历孤立森林中的每棵孤立树；

S22，利用改进异常分数的计算式得到异常分数的值；

其中，所述的改进异常分数的计算式如下：

其中，

是数据所在子节点的层数，即在遍历过程中划分的次数；

是根节点中的数据总数；

是父节点与子节点中数据数量比值的最大值，

的计算方法如下所示：

其中，

是

落入节点的父节点中的数据数量，

是

落入节点的数据数量；

的值有两种不同的情况：

当

，

时，

，此时判断数据

为异常；当

，

时，

，如果

足够大，

，此时判断数据

为正常；

所述的滑动窗口的最值确定的方法如下：

其中，Window_size为滑动窗口大小；Cycle_id,max为所有ID的最大周期；f为消息频率；t_calculate-t_response为发生攻击到响应攻击的时间间隔。

2.根据权利要求1所述的方法，其特征在于，所述的步骤1中设置固定消息数量的滑动窗口的方法包括以下步骤：

S11，计算所有ID的最大周期，所选择的滑动窗口大小应大于最大周期，尽量保证存在一个滑动窗口中每个ID的数据出现两次；

S12，确定需要达到的最小响应时间，即从发生攻击到响应攻击应达到的最小时间间隔，所选择的滑动窗口大小应满足在最小响应时间内完成异常检测过程。

3.根据权利要求2所述的方法，其特征在于，所述的滑动窗口的最大值确定的方法如下：

整理得

。

4.根据权利要求1所述的方法，其特征在于，所述的信息熵的计算方法如下：

其中，

。

5.根据权利要求1所述的方法，其特征在于，所述的孤立森林的建立方法包括以下步骤：

S11，对滑动窗口的

信息熵和

分类后的数据集构建孤立树，孤立树的建立过程如下：

S111，将当前滑动窗口的

信息熵和

分类后的数据放入树的根节点；

S112，随机指定一个特征，并在当前特征的所有范围内随机生成一个值划分值

，

是在该特征范围的最大值和最小值之间随机产生的，对于ID信息熵来说只有一个特征，直接选择即可；

S113，根据

对所有值进行划分，指定该特征所有中小于

的数据被放在当前节点的左子节点中，大于或等于

的数据被放在当前节点的右子节点中；

S114，在生成的左右子节点中，重复步骤S112和步骤S113对子节点进行更新，直到达到终止条件，终止条件有两个，一个是节点中只有一个数据；另一个是节点中所有数据具有相同的值；S12，滑动窗口随时间的推移向后滑动，直到滑动窗口滑动至末端，此时完成构建

棵孤立树，形成ID信息熵和各个ID所对应数据分离的孤立森林模型。

Images