DE102017210647A1

DE102017210647A1 - Verfahren und Vorrichtung zum Erkennung eines Angriffes auf einen Feldbus

Info

Publication number: DE102017210647A1
Application number: DE102017210647.6A
Authority: DE
Inventors: Marko Poljansek; Juergen Klarmann
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2017-06-23
Filing date: 2017-06-23
Publication date: 2018-12-27

Abstract

Verfahren (10) zur Erkennung eines Angriffes auf einen Feldbus (30), gekennzeichnet durch folgende Merkmale:- über den Feldbus (30) wird eine erste Nachricht (21) empfangen (11),- die erste Nachricht (21) wird einer Integritätsprüfung (12) unterzogen,- schlägt die Integritätsprüfung (12) fehl, so wird die erste Nachricht (21) verworfen und eine zweite Nachricht (22) erzeugt (13) und- die zweite Nachricht (22) wird über den Feldbus (30) an ein Angriffserkennungssystem (24) gesendet (14).

Description

Die vorliegende Erfindung betrifft ein Verfahren zur Erkennung eines Angriffes auf einen Feldbus. Die vorliegende Erfindung betrifft darüber hinaus ein entsprechendes Steuergerät, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
Stand der Technik
In der IT-Sicherheit wird jedwedes System zur Erkennung von Angriffen, die gegen ein Computersystem oder Rechnernetz gerichtet sind, als Angriffserkennungssystem (intrusion detection system, IDS) bezeichnet. Bekannt sind insbesondere Netzwerk-basierte IDS (NIDS), die alle Pakete in einem zu überwachenden Netzwerksegment aufzeichnen, analysieren und anhand bekannter Angriffsmuster verdächtige Aktivitäten melden.
WO2017042012A1 offenbart ein privates Controller Area Network (CAN) in einem Fahrzeug, um nicht unmittelbar angegriffene elektronische Steuereinheiten (electronic control units, ECUs) von nicht autorisierten Versuchen zu informieren, auf eine angegriffene ECU zuzugreifen. Jede ECU auf dem privaten CAN speichert einen gemeinsamen verschlüsselten Hacking-Benachrichtigungsschlüssel und einen eindeutigen Identifikationscode. Wenn eine erste Fahrzeugsystem-ECU einen unberechtigten Zugriffsversuch über das öffentliche CAN erkennt, sendet sie eine Warnmeldung an die anderen ECUs über das geschlossene, private CAN.
Offenbarung der Erfindung
Die Erfindung stellt ein Verfahren zur Erkennung eines Angriffes auf einen Feldbus, ein entsprechendes Steuergerät, ein entsprechendes Computerprogramm sowie ein Speichermedium gemäß den unabhängigen Ansprüchen bereit.
Der vorgeschlagene Ansatz fußt hierbei auf der Erkenntnis, dass es generell ein nicht-triviales Problem darstellt, in dezentral organisierten Netzwerken Informationen über den Gesamtzustand des Netzwerks zu erhalten. Dies gilt auch und besonders für die im Automotive-Bereich immer komplexer werdenden E/E-Architekturen. Ebenso erhöht sich die Angriffsfläche für Cyber-Angriffe im vernetzen Umfeld immer mehr und mehr. Und auch die Anzahl der tatsächlich zu verzeichnenden Angriffe steigt mehr und mehr. Wenn es einem Angreifer gelingt, in das Fahrzeugnetz einzudringen oder gar eine ECU zu kompromittieren, ist es ebenso nicht-trivial, diese aus Systemsicht zu lokalisieren. Nach dem Stand der Technik steht in der Regel keine Überwachungskomponente zur Verfügung, die das gesamte System überwachen könnte.
Die nachfolgend vorgestellte Lösung eröffnet daher neue Möglichkeiten, um Informationen zu sammeln, die es zum Zwecke der Angriffserkennung erlauben zu bestimmen, ob ein Fahrzeug mit derartiger Architektur eine kompromittierte ECU im Automobilnetzwerk enthält. Dieser Ansatz bereichert somit ein herkömmliches IDS und dessen übliche Funktionalität gleichsam um eine „Netzwerkerweiterung“.
Ein grundlegender Aspekt hierbei ist der Folgende: Wenn die Überprüfung einer Nachricht im Rahmen einer sicheren Kommunikationsabwicklung fehlschlägt, wird die Nachricht nicht nur wie in herkömmlichen Systemen verworfen. Vielmehr wird zusätzlich das Angriffserkennungssystem mit Hilfe eines dedizierten Nachrichtentyps von der fehlgeschlagenen Überprüfung in Kenntnis gesetzt. So kann das IDS darauf reagieren, dass ein Angriff auf das Automotive-Netzwerk durchgeführt worden sein könnte. Andernfalls stünde diese Information außerhalb des verwerfenden Steuergerätes nicht zur Verfügung, sodass das Angriffserkennungssystem keine Kenntnis vom möglichen Angriffsversuch erlangen würde.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich. So kann zusätzlich zu den beschriebenen Mitteilungen an das Angriffserkennungssystem eine weitere IDS-Funktionalität vorgesehen sein, die sich auf mehrere Steuergeräte verteilt. Dazu gehören vor allem Monitoring-Aktivitäten. Die Analyse der gesammelten Daten erfolgt jedoch nicht lokal, sondern es werden relevante Informationen an das IDS zur weiteren Analyse im Rahmen konventioneller IDS-Aktivitäten gesendet.
Gemäß einem weiteren Aspekt kann vorgesehen sein, dass die Integritätsprüfung anhand eines chiffrebasierten Nachrichtenauthentifizierungscodes (cipher-based message authentication code, CMAC) mit fortgeschrittenem Verschlüsselungsstandard (advanced encryption standard, AES) erfolgt. Diese Ausgestaltung verleiht dem Verfahren eine hohe rechnerische Geschwindigkeit und gestattet eine ressourcenschonende Implementierung, die den Beschränkungen handelsüblicher Steuergeräte gerecht wird.
Figurenliste
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

1 das Blockdiagramm eines herkömmlichen Feldbusses in einem Kraftfahrzeug.
2 das Blockdiagramm eines Feldbusses gemäß einer ersten Ausführungsform.
3 das Blockdiagramm eines Feldbusses gemäß einer zweiten Ausführungsform.
4 das Flussdiagramm eines beispielhaften Ablaufs bei Erkennung eines Angriffs.

Ausführungsformen der Erfindung
1 illustriert exemplarisch einen herkömmlichen Ansatz zur Erkennung möglicher Angriffe auf einen Feldbus (30). Um die Echtheit einer ersten Nachricht (21) zu gewährleisten, wird ein sicherer Kommunikationsmechanismus verwendet. Hierzu wird der Nutzlast beispielsweise ein Nachrichtenauthentifizierungscode oder eine anderweitige kryptografische Prüfsumme hinzugefügt. Derartige MACs werden typischerweise vom absendenden Steuergerät (20) berechnet und durch das empfangende Steuergerät (20) anhand eines vorab im Rahmen eines symmetrischen Kryptosystems geteilten Schlüssels überprüft.
Im Folgenden sei die Annahme getroffen, dass die erste Nachricht (21) manipuliert oder von einem Angreifer neu erstellt wurde, sodass die Überprüfung des Absenders fehlschlägt. Die erste Nachricht (21) selbst wird somit verworfen.
Gemäß dem in 2 dargestellten, einer Ausführungsform entsprechenden Ansatz verwirft das empfangende Steuergerät (20) ebenfalls die erste Nachricht (21), sofern deren Überprüfung fehlschlägt. Darüber hinaus wird jedoch sichergestellt, dass ein über den Feldbus (30) verbundenes Angriffserkennungssystem (24) über dieses Verwerfen informiert wird. Hierzu erzeugt das empfangende Steuergerät (20) unmittelbar nach dem Verwerfen eine neue, zweite Nachricht (22), die an das Angriffserkennungssystem (24) gesendet werden muss.
Nun ist das Angriffserkennungssystem (24) in der Lage, die Informationen der zweiten Nachricht (22) zu verwenden, um sie in ihre herkömmlichen Analyseaktivitäten aufzunehmen. Damit wird das Angriffserkennungssystem (24) in die Lage versetzt, mehr Informationen zu sammeln, als es einem konventionellen System möglich wäre.
3 veranschaulicht eine systematische Fortsetzung dieses Ansatzes. Hierbei werden die Steuergeräte (20) nicht nur mit der Fähigkeit zur Benachrichtigung des Angriffserkennungssystems (24) ausgestattet, sondern auch um zusätzliche Angriffserkennungsfunktionalität bereichert. Dazu gehören vor allem Aktivitäten im Bereich der Netzüberwachung.
Gemäß diesem Ansatz können weitere Informationen gesammelt werden, die im Zuge der Angriffserkennung zur Verfügung stehen. Dazu müssen einzelne Steuergeräte (20) nicht die komplette IDS-Funktionalität implementieren, sondern nur diejenigen Teile, die zum Sammeln und Versenden der relevanten Daten erforderlich sind. Dieser Ansatz kann als eine IDS-Client-/Server-Architektur verstanden werden, die mittels des Feldbusses (30) umgesetzt wird.
So überwachen Angriffserkennungsclients (26) den Feldbus (30) und sammeln Informationen, unterziehen diese jedoch nicht selbst einer Analyse. Letztere bleibt einem Angriffserkennungsserver (25) vorbehalten. Jeder der Angriffserkennungsclients (26) übersendet dem Angriffserkennungsserver (25) hierzu eine dedizierte dritte Nachricht (23) oder mehrere solcher Nachrichten (23).
Diese Ausführungsform könnte eine geeignete Lösung für einfache Steuergeräte (20) darstellen, bei denen dennoch eine Angriffserkennung gewünscht wird.
Das nunmehr anhand von 4 beleuchtete Beispiel soll die Vorteile des neuen Ansatzes verdeutlichen.
Angenommen, es gibt ein an den Feldbus (30) angeschlossenes kompromittiertes Steuergerät (20) in einem Kraftfahrzeug. Es sei ferner davon auszugehen, dass dieses Steuergerät (20) periodisch eine Notbremsnachricht (21) über den Feldbus (30) sendet. Beim Empfang (Prozess 11) dieser ersten Nachricht (21) würde ein Steuergerät (20) den Angriff am Fehlschlag der Integritätsprüfung (12) erkennen. Die Notbremsnachricht (21) würde verworfen und stattdessen eine zweite Nachricht (22) erzeugt (Prozess 13). Mittels dieser zweiten Nachricht (22) würde der Angriffsversuch dem Angriffserkennungssystem (24) - im Sinne der ersten Ausführungsform - oder Angriffserkennungsserver (25) - im Sinne der zweiten Ausführungsform - mitgeteilt (Prozess 14). Im letzteren Fall wäre es hierbei möglich, zusätzliche Informationen über das kompromittierte Steuergerät (20) weiterzuleiten. Nun sind relevante Informationen zum Angriffsversuch verfügbar. Diese Informationen können verwendet werden, um das kompromittierte Steuergerät (20) zu ermitteln und Gegenmaßnahmen zu ergreifen, um es beispielsweise zu isolieren.
In einem herkömmlichen System würde das Steuergerät (20) die manipulierte Notbremsnachricht (21) womöglich ebenfalls erkennen und verwerfen. Allerdings würden typischerweise keine Informationen über diesen Angriffsversuch verbreitet und keine Gegenmaßnahmen hinsichtlich des kompromittierten Steuergerätes (20) eingeleitet. In der Regel würde somit kein anderes Steuergerät (20) Kenntnis vom erfolgten Angriffsversuch erlangen.
Dieses Verfahren (10) kann beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware beispielsweise in einem der Steuergeräte (20) implementiert sein.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 2017042012 A1 [0003]

Claims

Verfahren (10) zur Erkennung eines Angriffes auf einen Feldbus (30), gekennzeichnet durch folgende Merkmale: - über den Feldbus (30) wird eine erste Nachricht (21) empfangen (11), - die erste Nachricht (21) wird einer Integritätsprüfung (12) unterzogen, - schlägt die Integritätsprüfung (12) fehl, so wird die erste Nachricht (21) verworfen und eine zweite Nachricht (22) erzeugt (13) und - die zweite Nachricht (22) wird über den Feldbus (30) an ein Angriffserkennungssystem (24) gesendet (14).
Verfahren (10) nach Anspruch 1, gekennzeichnet durch folgende Merkmale: - schlägt die Integritätsprüfung (12) fehl, so wird durch einen Angriffserkennungsclient (26) eine Überwachung des Feldbusses (30) aufgenommen, - anhand der Überwachung wird zumindest eine dritte Nachricht (23) erzeugt und - die dritte Nachricht (23) wird über den Feldbus (30) an einen Angriffserkennungsserver (25) gesendet.
Verfahren (10) nach Anspruch 2, gekennzeichnet durch folgende Merkmale: - während der Überwachung werden auf dem Feldbus (30) übertragene Daten erfasst und - die Daten werden in der dritten Nachricht (23) an den Angriffserkennungsserver (25) übermittelt.
Verfahren (10) nach einem der Ansprüche 1 bis 3, gekennzeichnet durch folgendes Merkmal: - die Integritätsprüfung (12) erfolgt anhand einer Prüfsumme der ersten Nachricht (21).
Verfahren (10) nach Anspruch 4, gekennzeichnet durch folgendes Merkmal: - die Prüfsumme ist ein Nachrichtenauthentifizierungscode.
Verfahren (10) nach Anspruch 5, gekennzeichnet durch folgendes Merkmal: - der Nachrichtenauthentifizierungscode basiert auf einer Blockchiffre.
Verfahren (10) nach Anspruch 6, gekennzeichnet durch folgendes Merkmal: - die Blockchiffre entspricht einem fortgeschrittenen Verschlüsselungsstandard.
Computerprogramm, welches eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.
Maschinenlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 8 gespeichert ist.
Steuergerät (20), das eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.