-
Technisches Gebiet
-
Vorgestellt werden Verfahren zum Schutz eines Netzwerkes vor einem Cyberangriff, hierzu eingerichtete Netzwerkteilnehmer sowie ein hierzu eingerichtetes Computerprogramm.
-
Stand der Technik
-
Aus der
W02012/159940 A2 ist ein Verfahren bekannt, einen Fingerabdruck zur Charakterisierung eines Fahrzeugnetzwerks heranzuziehen, um eine Manipulation des Fahrzeugnetzwerks feststellen zu können. Der Fingerabdruck wird dabei insbesondere aus einer Netzwerkkonfiguration gewonnen.
-
Die
EP 2 433 457 B1 beschreibt ein Sicherheitssystem für Fahrzeuge sowie Methoden zur Eindringerkennung (Intrusion Dectection) sowie Maßnahmen zur Reaktion, falls ein entsprechender Cyberangriff festgestellt wird.
-
Offenbarung der Erfindung
-
Es werden Verfahren vorgeschlagen, mit denen der Schutz eines Netzwerkes erhöht wird, indem ein Cyberangriff auf das Netzwerk anhand einer Übertragung im Netzwerk erkannt oder ein erkannter Angriff lokalisiert werden kann. Dazu werden als Charakteristika Frequenzen bzw. Frequenzanteile bzw. Frequenzverhältnisse bei der Übertragung mit mindestens einem vorbestimmten Wert bzw. Fingerabdruck verglichen. Der Fingerabdruck geht dabei insbesondere zurück auf zuvor bestimmte charakteristische Frequenzen bzw. Frequenzanteile bzw. Frequenzverhältnisse für Übertragungen bestimmter Netzwerkteilnehmer oder über bestimmte Übertragungsstrecken oder aus bestimmten Netzwerksegmenten. Anhand des Vergleichs kann eine Herkunft der Nachricht erkannt und damit (gegebenenfalls in Kombination mit weiteren Eigenschaften) ein Cyberangriff erkannt werden oder ein erkannter Cyberangriff lokalisiert werden. Die Lokalisierung erfolgt vorzugsweise für einen Netzwerkteilnehmer, ein Netzwerksegment oder eine Übertragungsstrecke des Netzwerks.
-
Ein Netzwerk oder ein Teilnehmer eines Netzwerks sind eingerichtet, die beschrieben Verfahren durchzuführen, indem sie über elektronische Speicher- und Rechenressourcen verfügen, die Schritte eines entsprechenden Verfahrens auszuführen. Auf einem Speichermedium eines solchen Teilnehmers oder auf den verteilten Speicherressourcen eines Netzwerks kann auch ein Computerprogramm abgelegt sein, dass dazu eingerichtet ist, alle Schritte eines entsprechenden Verfahrens auszuführen, wenn es in dem Teilnehmer oder in dem Netzwerk abgearbeitet wird.
-
Die vorgeschlagenen Verfahren ermöglichen durch eine Lokalisierung des Angriffspunktes eines Cyberangriffes auf das Netzwerk eine gezieltere Reaktion auf den Angriff. Wird der herangezogene Fingerabdruck anhand eines Modells (z.B. umfassend einen Lernalgorithmus, ein neuronales Netz, ein stochastisches Modell oder ein datenbasiertes oder automatenbasiertes Modell) aus geeigneten Charakteristika einer Übertragung bestimmt, so kann das Verfahren besonders zuverlässig und robust gestaltet werden.
-
Als weitere Vorteile der vorgeschlagenen Verfahren sind hierfür keine zusätzlich übertragenen Daten nötig, wodurch es auch keinen negativen Einfluss auf Echtzeitanforderungen des Netzwerks gibt. Ein Angreifer außerhalb des Netzwerks kann die physikalischen Charakteristika der Übertragung nicht verändern, da diese sich aus Hardwareeigenschaften des Netzwerks und seiner Komponenten ergeben und damit höheren Softwareschichten nicht zugänglich sind.
-
In bevorzugten Ausgestaltungen gehen die herangezogenen Charakteristika der Übertragung zurück auf physikalische Eigenschaften des Netzwerks, von Übertragungskanälen oder Übertragungsmedien des Netzwerks wie Kabeln, Koppelnetzwerken, Filterschaltungen oder Anschlussstellen, der Teilnehmerhardware, insbesondere von Transceivern oder Mikrocontrollern, einer Topologie des Netzwerks oder von Netzabschlüssen oder Abschlusswiderständen etc.
-
In einer besonders bevorzugten Ausgestaltung des Verfahrens wird die Fehlerbehandlung bei erkannter Manipulation gezielt für einen lokalisierten Netzwerkteilnehmer, ein lokalisiertes Netzwerksegment oder für eine lokalisierte Übertragungsstrecke des Netzwerks durchgeführt. Dazu können insbesondere der lokalisierte Netzwerkteilnehmer, das lokalisierte Netzwerksegment oder die lokalisierte Übertragungsstrecke im Netzwerk in der Funktion eingeschränkt oder deaktiviert werden, über ein deaktiviertes Gateway aus dem Netzwerk ausgeschlossen werden oder von ihnen kommende Nachrichten nicht übertragen oder verworfen werden.
-
Durch gezielte Schaltungstechnik oder Hardwareauswahl oder Manipulation von Komponenten des Netzwerks können die herangezogenen Charakteristika auch ins Netzwerk eingebracht oder im Netzwerk verstärkt werden. Hierdurch kann die Zuverlässigkeit der Erkennung und Lokalisierung eines Angriffspunktes weiter erhöht werden.
-
Figurenliste
-
Nachfolgend ist die Erfindung unter Bezugnahme auf die beiliegende Zeichnungen und anhand von Ausführungsbeispielen näher beschrieben. Dabei zeigen
- 1 schematisch ein beispielhaftes Netzwerk mit mehreren Netzwerkteilnehmer,
- 2 einen schematischen Ablauf eines beispielhaften Verfahrens zum Schutz eines Netzwerks vor einem Cyberangriff.
-
Beschreibung der Ausführungsbeispiele
-
Die vorliegende Erfindung bezieht sich auf ein Verfahren zum Schutz eines Netzwerks vor einem Cyberangriff durch Erkennung des Angriffs oder Lokalisierung eines Angriffspunktes eines solchen Cyberangriffes im Netzwerk.
-
Die Sicherheit von Netzwerken allgemein und speziell von Netzwerken in Fahrzeugen gegen Cyberangriffe wird immer wichtiger. Gerade für vernetzte und automatisierte Fahrzeuge werden solche Angriffe relevanter. Forscher konnten erfolgreiche Remote-Angriffe auf Fahrzeug-Steuergeräte demonstrieren. Dadurch wird es Angreifern möglich, Steuerungsfunktionen im Fahrzeug zu übernehmen, indem Nachrichten über die erfolgreich angegriffenen Steuergeräte in ein Fahrzeugnetzwerk eingespielt werden.
-
Zum einen ist es wichtig, einen Angriff auf ein Netzwerk zu erkennen und die dadurch eingespielten schädlichen Nachrichten zu identifizieren. Zum anderen ist es ebenfalls bedeutend, den Ursprung des Angriffs, also den angegriffenen Netzwerkteilnehmer oder zumindest das angegriffene Netzwerksegment zu identifizieren, u.a. um gezielte Gegenmaßnahmen einleiten zu können. Wird eine Nachricht als bösartig identifiziert, so soll nun anhand von Charakteristika der Übertragung der Nachricht erkannt werden, von welchem Netzwerkteilnehmer bzw. aus welchem Netzwerksegment die Nachricht kommt.
-
Hierzu werden Frequenzen bzw. Frequenzanteile einer Nachrichtenübertragung im Netzwerk bestimmt und mit entsprechenden vorbestimmten Größen vergleichen. Alternativ können auch Frequenzverhältnisse bestimmt oder gespeichert werden und für den Vergleich herangezogen werden. Diese vorbestimmten Größen entsprechen vorzugsweise für bestimmte Netzwerkteilnehmer, Netzwerksegmente oder Übertragungsstrecken charakteristischen Frequenzen oder daraus abgeleitete Größen. Durch den Vergleich kann die Herkunft einer Nachricht im Netzwerk festgestellt werden und (evtl. in Kombination mit weiteren Eigenschaften der Nachricht) ein Cyberangriff festgestellt werden oder ein erkannter Cyberangriff im Netzwerk lokalisiert werden. Für einen entfernten Angreifer ist es kaum möglich die Frequenzen bei einer Übertragung gezielt zu beeinflussen, ganz im Gegensatz zu Nachrichteninhalten einschließlich Absenderadressen etc.
-
Dabei können die Frequenzen bzw. Frequenzanteile
- - ein Teilnetzwerk als Herkunft einer Übertragung authentifizieren,
- - einen bestimmten Übertragungsweg oder Übertragungskanal im Netzwerk charakterisieren bzw. authentifizieren oder
- - individuelle Netzwerkteilnehmer (z.B. Steuergeräte in einem Fahrzeugnetzwerk oder Gateways eines Netzwerks) als Urheber einer Nachricht authentifizieren.
-
In einem System können diese Charakteristika in allen drei verschiedenen Ausprägungen auch gemeinsam eingesetzt werden.
-
In 1 ist ein beispielhaftes Netzwerk 1 mit Abschlusswiderständen 10 und 11 gezeigt. An den Bus 1 angeschlossen sind als Netzwerkteilnehmer eine ECU 101, eine ECU 102 sowie ein Netzwerkwächter bzw. eine Netzwerküberwachungseinheit 103. Der Netzwerkwächter 103 verfügt vorzugsweise über Sende- und Empfangsmittel, Nachrichten des Bus 1 zu empfangen sowie Nachrichten auf den Bus 1 zu senden. Zudem verfügt er vorzugsweise über Auswertemittel, physikalische Charakteristika einer Übertragung einer Nachricht auf dem Bus zu bestimmten, sowie über eine Recheneinheit, um daraus insbesondere durch Vergleich mit vorbestimmten Daten eine Herkunft der Nachricht zu ermitteln.
-
In 2 ist ein beispielhafter Ablauf eines Verfahrens zum Schutz eines Netzwerks gegen Cyberangriffe gezeigt. Zunächst werden in einem ersten Schritt 201 insbesondere mittels eines Modells Frequenzen oder Frequenzanteile während oder kurz nach Übertragungen als vorbestimmte, charakterisierende Größe erstellt. Vorzugsweise werden für alle Netzwerkteilnehmer entsprechende Größen vorbestimmt. Das kann über Messungen der charakteristischen Frequenzen oder Frequenzanteile einer Nachrichtenübertragung mit externen Messgeräten erfolgen (zum Beispiel einem Oszilloskop), insbesondere in einer sicheren Umgebung (zum Beispiel im Werk). Alternativ können die charakteristischen Frequenzen oder Frequenzanteile auch mit internen Messvorrichtungen physikalische Charakteristika bestimmt werden (z.B. mit Mitteln eines Netzwerkteilnehmers, z.B. eines Steuergeräts an einem Fahrzeugnetz oder in Messvorrichtungen eines Netzwerkknotens speziell für die Netzwerküberwachung). Alternativ dazu können Modell bzw. vorbestimmte Größen auch von extern empfangen und abgespeichert werden, z.B. von einem Internetserver.
-
Für die Bestimmung der Frequenzanteile kann der gesamte Frame einer Nachricht oder auch nur Teile verwendet werden. Da die Information in den Flanken bzw. im Bereich nach den Flanken (Ausschwingen) enthalten ist, ist es auch möglich, nur einen Teil eines Bits (Anfang oder Ende) zu verwenden. Zur Bestimmung können auch mehrere Messungen (z.B. alle positiven Flanken) eines Frames aufaddiert werden.
-
Das Modell kann auf verschiedene Arten angelernt werden bzw. die Fingerabdrücke bestimmen. Zum Beispiel kann ein bestimmtes Prüfmuster im Netzwerk übertragen werden, welches insbesondere unkorreliert zu anderen auf dem Bus erwarteten Nachrichten sein kann. Alternativ können die Fingerabdrücke auch anhand während des normalen Betriebs des Netzwerks übertragener regulärer Nachrichten oder aus Teilen dieser Nachrichten bestimmt werden. Auch können bestimmte Netzwerkteilnehmer per Nachricht dazu aufgefordert werden, auf bestimmte Art zu antworten, und anhand der Übertragung der bestimmten Antworten Fingerabdrücke bestimmt werden. Optimalerweise werden die Fingerabdrücke mittels des Modells auf Basis der gemessenen physikalischen Charakteristika wiederholter und unterschiedlicher Übertragungen angelernt, um später anhand der Fingerabdrücke eine robuste Authentifizierung zu ermöglichen.
-
Im Schritt 202 liegt ein valides Modell bzw. liegen valide Fingerabdrücke vor, so dass Kommunikation im Netzwerk in Schritt 203 durch Vergleich mit dem Modell bzw. den Fingerabdrücken auf ihre Herkunft überprüft werden kann. Konkret bestimmt werden können in diesem Schritt einzelne Nachrichten und deren Inhalte (z.B. einzelne Nachrichtenrahmen auf einem CAN-Bus oder einzelne Bits innerhalb eines solchen Rahmens), die Übertragungszeitpunkte, Muster höherer Ordnung im Nachrichtenverkehr eines oder mehrere Übertragungsteilnehmer (insbesondere Transceiver) und die physikalischen Charakteristika der Übertragung. Bereits mit diesen Informationen können schädliche oder unerwartete Nachrichten identifiziert werden und als (mutmaßliche) Nachrichten aufgrund eines Cyberangriffs erkannt werden. Durch einen Vergleich der bestimmten physikalischen Charakteristika mit dem angelernten Modell bzw. den ermittelten Fingerabdrücken kann die Herkunft der Nachricht bestimmt werden und damit ein Cyberangriff identifiziert bzw. bestätigt werden oder ein Angriffspunkt des Cyberangriffs lokalisiert werden. Letzteres ermöglicht wiederrum eine gezielte Reaktion auf den Angriff am Angriffspunkt.
-
Für die Manipulationserkennung und die Lokalisierung werden als physikalisches Charakteristikum Übertragungsfrequenzen bestimmt. Jeder Netzwerkteilnehmer bzw. jeder Netzwerkbereich kann verschiedene Frequenzen bei der Übertragung im Netzwerk einbringen, z.B. resultierend aus unterschiedlichen Eigenschaften der jeweiligen Transceiver, aus Kabeleigenschaften etc. Diese Frequenzen können gemessen werden bzw. die verschiedenen Frequenzanteile bestimmt werden. Vorzugsweise können Auswertungen im Frequenzbereich anstatt im Zeitbereich erfolgen. Die unterschiedlichen Frequenzanteile resultieren auch aus Signalüberlagerungen und Signalreflexionen im Netzwerk. Um die Authentifizierbarkeit von Netzwerkteilnehmern zu erhöhen, könnten unterschiedliche Frequenzcharakteristika auch gezielt ins Netzwerk eingebracht werden, insbesondere durch Auswahl oder Manipulation der Hardwarekomponenten der Netzwerkteilnehmer, insbesondere von Transceivern der Netzwerkteilnehmer, oder durch eine Manipulation der Stromzufuhr zu einem Transceiver. Vorzugsweise werden für die Bestimmung der entsprechenden Charakteristika bzw. der Bestimmung der vorbestimmten Größen bzw. Fingerabdrücke eine Sprungantwort oder eine Impulsantwort eines Netzwerks auf eine Übertragung ausgenutzt. Damit können insbesondere auch die auftretenden Reflektionen im System ausgenutzt werden, welche aus der Struktur des Netzwerks, seiner Übertragungsmittel, seiner Widerstände und seiner angeschlossenen Hardwareelemente resultieren, und welche die bestimmten Frequenzen besonders charakteristisch werden lassen.
-
Ein Testimpuls kann hierbei von einem gewöhnlichen Teilnehmer oder von einem speziellen Testteilnehmer erzeugt werden. Der Testimpuls kann hierbei aus einem oder einer beliebigen Anzahl von Pegelwechsel bestehen, bei denen die Zeiten zwischen den Pegelwechsel bestimmt oder unbestimmt sind. Auch ist es möglich, dass das Netzwerk hierfür in einen speziellen Lernmodus versetzt wird, während dessen beispielsweise keine normale Datenübertragung stattfindet. Der Sender des Testimpulses kann zur Erzeugung des Testimpulses über spezielle Module aus HW und/oder SW verfügen.
-
Die Ermittlung und Auswertung der Daten in Schritt 203 kann durch einzelne Netzwerkteilnehmern, z.B. von einzelnen Steuergeräten eines Fahrzeugnetzes erfolgen. Alternativ können auch separat vorgesehene Überwachungseinheiten als Netzwerkteilnehmer hierzu eingesetzt werden. Einzelne Eigenschaften, z.B. Übertragungszeitpunkte aber auch weitere physikalische Charakteristika, können ohne spezielle Hardware erfasst werden. Für andere Eigenschaften, vor allem im gewünschten Detailgrad, ist zusätzliche Hardware in den Einheiten sinnvoll. Daher ist es vorzugsweise sinnvoll, einzelnen Netzwerkteilnehmer die Erfassung und Auswertung zu übertragen und diese entsprechend auszustatten. Diese können auch über zusätzliche Absicherungsmechanismen verfügen, z.B. ein TPM (Trusted Platform Module). Die Auswertung der Daten kann auch kooperativ durch mehrere Netzwerkteilnehmer erfolgen.
-
Die Erfassung und Auswertung der Daten kann periodisch oder dynamisch, insbesondere zur Reduzierung des benötigten Speicherplatzes bei festgestelltem Bedarf, stattfinden. Eine Speicherung der Daten ermöglicht es, auch für vergangene Nachrichten eine Analyse der Herkunft durchzuführen, falls ein Verdacht auf einen erfolgten Cyberangriff auf das Netzwerk besteht. Für eine möglichst schnelle Reaktion auf Angriffe sind Echtzeiterfassung und -berechnung optimal.
-
Die erfassten Daten können in jedem Steuergerät einzeln, in einem oder mehreren Netzwerküberwachungseinheiten oder auch Netzwerk-extern gespeichert werden. In einer vorteilhaften Ausgestaltung werden die Daten an verschiedenen Stellen abgespeichert, um einen Angriff auf die Daten zu erschweren. Im Fall eines Fahrzeugnetzwerks können die Daten auch Fahrzeug-extern, z.B. auf einem Server gespeichert werden. Das hat den Vorteil, dass auch für andere Fahrzeuge oder von einer übergeordneten Stelle eine Auswertung und Reaktion erfolgen kann sowie dass die Daten bei einem Cyberangriff auf das Fahrzeug nicht (ohne weiteres) Gegenstand des Angriffes sein können.
-
Wird eine Nachricht in Schritt 203 als unbedenklich eingestuft, wird zu Schritt 204 verzweigt und die Nachricht kann ohne Gegenmaßnahmen im Netzwerk übertragen und ausgewertet werden. Von Schritt 204 kann in Schritt 202 verzweigt werden und für weitere Nachrichtenübertragungen eine Datenerfassung und eine Analyse erfolgen. Zusätzlich oder alternativ können nach einer Verzweigung zu Schritt 207 die erfassten Daten dazu verwendet werden, das Modell bzw. die Fingerabdrücke anzupassen bzw. zu verfeinern. Dies kann auch dazu beisteuern, dass potentielle Angriffe erkannt werden, bei denen die einzelnen Nachrichten nicht schädlich sind, aber in ihrer Gesamtheit sehr wohl schädlich sein können. Das kann sinnvoll sein, da sich physikalische Charakteristika auch über die Zeit ändern können, z.B. aufgrund von Alterungseffekten. Von Schritt 207 wird dann wieder in Schritt 201 verzweigt.
-
Wird eine Nachricht als bedenklich, also als Teil eines Cyberangriffs gewertet wird aus Schritt 203 in Schritt 205 verzweigt. Dort werden geeignete Gegenmaßnahmen bzw. Reaktionen angestoßen. In einer besonders bevorzugten Ausgestaltung werden die Gegenmaßnahmen bzw. Reaktionen auf Basis der erkannten Herkunft der Nachricht hin speziell angepasst.
-
Als Reaktion kann eine weitere Übertragung (insbesondere bei einer Echtzeitreaktion) oder zumindest eine weitere Auswertung einer Nachricht verhindert werden, z.B. indem auf einen Nachrichtenkanal dominante Signale gesendet werden (die die Nachricht unleserlich oder zumindest fehlerhaft machen, z.B. durch Überschreiben einer Prüfungssequenz) oder direkt im Anschluss an die Nachricht einen Fehlerrahmen versendet wird. Diese Reaktionen können auch abhängig davon gestaltet werden, woher die Nachricht kam.
-
Als weitere Gegenmaßnahme können alternativ oder zusätzlich auch (mutmaßlich) korrumpierte Netzwerkteilnehmer aus dem Netzwerk entfernt werden (insbesondere deaktiviert werden), insbesondere der Netzwerkteilnehmer, welcher als Sender der Nachricht identifiziert wurde, bzw. Netzwerkteilnehmer aus dem Netzwerksegment, das als Herkunft der Nachricht identifiziert wurde. Ebenso können Übertragungsstrecken gesperrt werden, über welche die Nachricht übertragen wurde. Es können des Weiteren auch Nachrichten an Gateways zwischen bestimmten Netzwerken oder Netzwerksegmenten geblockt werden, um ein Übergreifen eines Angriffs auf benachbarte oder zusätzliche Netzwerke oder Netzwerksegmente zu vermeiden.
-
Das Netzwerk in einem Fahrzeug kann beispielsweise in logisch und / oder physikalisch getrennte Segmente unterteilt werden. Zum Beispiel kann das Netzwerksegment, an welches eine Head Unit des Fahrzeugs angeschlossen ist, über ein Gateway von einem weiteren Netzwerksegment getrennt sein, wobei das weitere Netzwerksegment von sicherheitskritischen Steuergeräten (z.B. zur Motorsteuerung, für ABS- oder ESP-Funktionen) genutzt wird. Wird solches Gateway, welches zwei Netzwerksegmente trennt, über Charakteristika der Übertragung bzw. entsprechende Fingerabdrücke als Quelle einer Nachricht in einem der Segmente identifiziert, welche nicht von einem Angreifer über Software manipulierbar sind, so können gezielt Nachrichten von diesem Gateway (und damit aus dem anderen Netzwerksegment) verworfen werden oder es kann gleich das Gateway selbst deaktiviert werden. So kann ein sicherheitskritisches Netzwerksegment von den Auswirkungen eines Angriffs auf ein anderes Netzwerksegment geschützt werden. Eine weitere Gegenmaßnahme kann auch das Abschalten der vermeintlichen Empfänger der Nachricht sein. Möglich ist hierbei neben einer kompletten Deaktivierung auch ein Umschalten auf einen Betriebsmodus mit reduzierter Funktionalität, z.B. einen Notlauf.
-
Schließlich können alternativ oder zusätzlich auch Warnsignale oder Fehlerberichte innerhalb des Netzwerks oder nach Netzwerk-extern übertragen werden, welche den erkannten Angriff und vorzugsweise die ermittelte Herkunft enthalten.
-
Im folgenden Schritt 207 können wiederum das Modell bzw. die Fingerabdrücke auf Basis der erfassten und ausgewerteten Daten angepasst bzw. verfeinert werden.
-
Bei einer Veränderung der Hardware eines Netzwerks oder seiner Komponenten kann es erforderlich sein, dass die Fingerabdrücke angepasst bzw. neu gelernt werden. Das kann z.B. der Fall sein bei einem Werkstattbesuch (Austausch, Veränderung, Ergänzung oder Wegnahme einer Komponente) oder auch durch Alterung des Systems. Vorzugsweise werden dabei die systemweiten Fingerabdrücke angepasst oder neu gelernt, da derartige Änderungen oft auch Auswirkungen auf die Fingerabdrücke anderer Komponenten oder Segmente haben. Ein solcher Anpass- oder Lernvorgang kann automatisch starten, z.B. auch, wenn durch das System automatisch eine Veränderung von Charakteristika erkannt wurde. Alternativ kann ein solcher Anpassvorgang auch von einer autorisierten Stelle angestoßen werden.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- WO 2012/159940 A2 [0002]
- EP 2433457 B1 [0003]
