-
Die vorliegende Erfindung betrifft ein Verfahren zum Erkennen von Unregelmäßigkeiten in einem Rechnernetz. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
-
Stand der Technik
-
Als Angriffserkennungssystem (intrusion detection system, IDS) wird in der IT-Sicherheit jedwedes System zur Erkennung von Angriffen bezeichnet, die auf ein Computersystem oder Rechnernetz gerichtet sind. IDS nach dem Stand der Technik bedienen sich oft einer Kombination aus zustandsorientierter Paketüberprüfung, Musterabgleich und der Erkennung von Unregelmäßigkeiten (Anomalien).
-
DE102016221378A1 betrifft ein Verfahren zum Schützen eines Geräts vor informationstechnischen Attacken, bei dem von mindestens einem Gerät empfangene Daten durch ein von dem Gerät umfasstes Angriffserkennungssystem auf eine informationstechnische Attacke hin überprüft werden, und für den Fall, dass die empfangenen Daten einer informationstechnischen Attacke zugeordnet werden, Kenndaten über die informationstechnische Attacke in dem Gerät abgespeichert und über eine Kommunikationsschnittstelle zu einer mit einer Vielzahl Geräte in kommunikativer Verbindung stehenden Einrichtung übertragen werden, und bei dem die Einrichtung die von dem Gerät übertragenen Kenndaten auswertet und in Abhängigkeit mindestens eines vorgegebenen Kriteriums eine Warnmeldung an zumindest einen Teil der mit der Einrichtung in kommunikativer Verbindung stehenden Geräte ausgibt.
-
Offenbarung der Erfindung
-
Die Erfindung stellt ein Verfahren zum Erkennen von Unregelmäßigkeiten in einem Rechnernetz, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium gemäß den unabhängigen Ansprüchen bereit.
-
Der nachfolgend vorgestellten Lösung liegt die Einsicht zugrunde, dass bestehende Angriffserkennungssysteme für Autos in der Regel auf einem zentralisierten Ansatz basieren. Typischerweise ist die IDS-Komponente auf einem zentralen Gateway vorgesehen und überwacht den dieses Gateway passierenden Netzwerkverkehr. Ein Nachteil solcher IDS-Systeme besteht darin, dass die Informationen, die sie berücksichtigen können, auf die Netzwerknachrichten und deren Inhalt beschränkt sind. Zum Beispiel ist der interne Zustand einer elektronischen Steuereinheit (electronic control unit, ECU), die mit dem entsprechenden Feldbus oder Netzwerk verbunden sind, einem zentralen IDS nicht bekannt.
-
Der vorgeschlagene Ansatz fußt daher auf dem Grundgedanken, dass ein verteiltes IDS in der Lage wäre, mehr Anomalien als ein zentralisiertes IDS zu erkennen.
-
Ein Vorzug dieser Lösung liegt in einer verbesserten IDS-Erkennungsrate und somit Wirksamkeit der Anomalieerkennung. Sie eröffnet somit Szenarien und geeignete Mechanismen für eine verteilte Angriffserkennung, die es ermöglichen, Anomalien zu erkennen, die existierende Lösungen, z. B. ein typisches zentralisiertes IDS, nicht oder nur mit geringer Wahrscheinlichkeit detektieren können.
-
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich. So kann vorgesehen sein, die über das Rechnernetz übertragenen Nachrichten durch einzelne Endgeräte aufzeichnen oder empfangen zu lassen. Ein traditionelles zentrales IDS verfügt über keine Kenntnis interner Zustände dieser einzelnen Knoten, z. B. einzelner ECUs, die mit einem fahrzeuginternen Netzwerk verbunden sind. Darüber hinaus hat ein zentrales IDS aufgrund von Feldbusspezifikationen keine einfache Möglichkeit, die tatsächliche Quelle einer Nachricht zu bestimmen. Folglich sind Anomalien, die mit den vorgeschlagenen Mechanismen erkannt werden können, prinzipiell unmöglich, zumindest aber nur sehr umständlich und kostspielig unter Verwendung eines zentralen IDS zu detektieren. Mit anderen Worten erlauben es die nachfolgend beschriebenen Detektionsmechanismen, Anomalien zu detektieren, die unter Verwendung existierender Ansätze nach dem Stand der Technik unmöglich oder zumindest nur sehr schwierig oder kostspielig zu detektieren sind.
-
Figurenliste
-
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:
- 1 ein abstraktes Modell eines fahrzeuginternen Felsbusses.
- 2 einen Erkennungsmechanismus für eine erste Anomalie.
- 3 einen Erkennungsprozess für die erste Anomalie.
- 4 einen Erkennungsmechanismus für eine zweite Anomalie.
- 5 einen Erkennungsprozess für die zweite Anomalie.
- 6 einen Erkennungsmechanismus für eine dritte Anomalie.
- 7 einen Erkennungsprozess für die dritte Anomalie.
- 8 einen Erkennungsmechanismus für eine vierte Anomalie.
- 9 einen Erkennungsprozess für die vierte Anomalie.
- 10 einen Erkennungsmechanismus für eine fünfte Anomalie.
- 11 einen Erkennungsprozess für die fünfte Anomalie.
-
Ausführungsformen der Erfindung
-
1 illustriert ein abstraktes Modell eines typischen fahrzeuginternen Feldbusses (20). Die Kreise (22) bezeichnen Knoten i ∈ I, die mit dem Bus (20) verbunden sind, z. B. ECUs. Diese Komponenten (20) können Nachrichten empfangen, verarbeiten und übertragen. Der rechteckförmig dargestellte Knoten (21) bezeichnet ein Gateway oder einen Domänencontroller, der mit anderen Teilnetzen des Fahrzeugs verbunden ist und möglicherweise externe Schnittstellen wie ODB-II oder Bluetooth aufweist.
-
In herkömmlichen verteilten elektrisch-elektronischen (E/E) Architekturen agiert der rechteckförmige Knoten (21) typischerweise als ein Vermittlungsgerät (switch), das die Kommunikation zwischen ECUs auf verschiedenen Bussen ermöglicht. Für neuere domänenübergreifende Zentralarchitekturen würde der rechteckförmig dargestellte Knoten (21) einen Domänencontroller bezeichnen, der über das Vermitteln eingehender Nachrichten hinausgehende Aufgaben erfüllen und insbesondere aktiv an der Kommunikation innerhalb des Feldbusses (20) teilnehmen könnte. In der Regel würde ein zentralisiertes IDS auf diesem Gateway bzw. Domänencontroller (21) ausgeführt werden.
-
In einem IDS gemäß einer Ausführungsform der Erfindung hingegen ist die Angriffserkennung auf mehrere Knoten (22) verteilt. In einem Feldbus (20) teilen sich all diese Knoten (22) eine physische Verbindung. Daher sieht jeder Knoten (22) sämtliche Nachrichten Mj, die über den Bus j übertragen werden. Bezeichnet ferner Ti die vom Knoten i gesendeten Nachrichten und Si dessen internen Zustand, so verfügt das vorgeschlagene IDS somit über die Information Mj × Ti × Si, während einem zentralen IDS lediglich die jeweils aufgezeichnete Nachricht Mj bekannt wäre.
-
Wie diesen Ausführungen zu entnehmen ist, verfügt ein verteiltes IDS über mehr Informationen für seine Entscheidungsfindung als ein zentralisiertes IDS. Insbesondere sind die Nachrichten Ti, die vom entsprechenden Knoten i gesendet wurden, die Abfolge dessen vorheriger Zustände sowie der aktuelle Zustand von i nur i selbst bekannt und daher nur in einem verteilten IDS verfügbar. Eine dem nachfolgend beschriebenen Ansatz zugrunde liegende Erkenntnis besteht darin, dass die von Ti und Si verkörperte Information die Wirksamkeit der Anomalieerkennung verbessert und daher durch das IDS genutzt werden sollte.
-
Es folgt eine detaillierte Beschreibung der vorgeschlagenen Mechanismen. Jede Beschreibung besteht aus vier Teilen: der Beschreibungen des Normalbetriebs, der Anomalien, des Erkennungsmechanismus und dessen konkreten Vorteils für das jeweilige Szenario. Der erste Teil beschreibt das Systemverhalten in Abwesenheit von Anomalien. Der zweite Teil liefert eine detaillierte Beschreibung der auf diese Weise erkennbaren Anomalie. Der dritte Teil beschreibt, wie die besagte Anomalie detektiert werden kann und erörtert, welche Art von Informationen bewertet werden müssen, um diese Anomalie zu erkennen. Schließlich vergleicht der vierte und letzte Teil den vorgeschlagenen Erkennungsmechanismus mit den Erkennungsfähigkeiten eines typischen zentralisierten IDS und verfolgt das Ziel, die beiden Ansätze zu vergleichen und Vorteile zu identifizieren, die die vorgeschlagenen Mechanismen besonders auszeichnen.
-
Ein erster Mechanismus basiert auf der Beobachtung, dass bestimmte Nachrichten r, r', ... im Normalbetrieb niemals von einem Knoten i empfangen werden, während dieser sich in bestimmten Zuständen s, s, ... befindet. Beispielsweise könnte der Knoten i Zustände haben, die lokale Informationen reflektieren. Das heißt, Si könnte Zustände umfassen, die aus den über den Bus (20) übertragenen Nachrichten, aus den Zuständen des zentralen Gateways bzw. Domänencontrollers (21) oder anderer Knoten (22), z. B. anderer ECUs, nicht abgeleitet werden können. In diesen Zuständen könnte es jedoch unplausibel sein, eine oder mehrere der Nachrichten r, r', ... zu empfangen.
-
Eine Unregelmäßigkeit wäre somit darin zu erblicken, wenn eine oder mehrere Nachrichten r,r', ... empfangen werden, während sich der Knoten i in einem der Zustände s, s', ... befindet.
-
Der entsprechende Erkennungsmechanismus ist in 2 gezeigt. Der Mechanismus (16) implementiert eine Anomalie-Erkennungsregel (31), die angibt, dass bestimmte Kombinationen (r, s), (r',s'), ... nicht erlaubt sind, und überwacht die Nachrichten Ri, die vom Knoten i empfangen werden (11), sowie den internen Zustand s ∈ Si von i (17). Der Prozess (10) der Anomalie-Erkennung ist in 3 dargestellt.
-
Einem zweiten Mechanismus liegt die Erkenntnis zugrunde, dass einige Nachrichten m von mehreren berechtigten Absendern (21, 22), z. B. mehreren ECUs, übertragen werden können. Da jedoch diese verschiedenen Absender m in verschiedenen Zuständen des Gesamtsystems (20) senden, hängt die Antwort auf m im Einzelfall davon ab, wer der jeweilige Absender war. Man betrachte als Beispiel zwei Knoten i und i', z. B. ECUs, die beide legitime Absender einer Diagnosemeldung m sind. Während der Knoten i m nur dann sendet, wenn sich das Fahrzeug bewegt, sendet der Knoten i' m nur dann, wenn sich das Fahrzeug nicht bewegt. Ferner sei angenommen, dass beim Senden von m ein anderer Knoten (22) mit einer Nachricht r antwortet, die unter anderem die Geschwindigkeit des Fahrzeugs enthält.
-
Eine Unregelmäßigkeit läge damit vor, wenn nach dem Senden der Nachricht m der legitime Sender (22) eine Antwort r dergestalt aufzeichnet, dass eine oder mehrere Eigenschaften von r, z. B. der Wert eines spezifischen CAN-Signals, nicht dem für den Normalbetrieb erwarteten Wertebereich entsprächen.
-
Der entsprechende Erkennungsmechanismus ist in 4 gezeigt. Der Mechanismus (16) implementiert eine Anomalie-Erkennungsregel (32), die besagt, dass, wann immer i m übermittelt (15) und r als Antwort empfängt (11), r bestimmte Kriterien erfüllen muss. Der Prozess (10) der Anomalie-Erkennung ist in 5 dargestellt.
-
Ein dritter Mechanismus folgt aus der Feststellung, dass eine oder mehrere Nachrichten m, m', ... niemals von einem anderen Knoten (22) als i gesendet werden, solange i in einem der vorgesehenen Zustände s, s, ... ∈ Si ist. Als Beispiel sei angenommen, dass es zwei Knoten i, i', z. B. ECUs, gibt, die beide berechtigt sind, eine Nachricht m zu senden. Während jedoch der Knoten i sich im Zustand s befindet, ist er der einzige legitime Absender. Das heißt, ein globaler Fahrzeugzustand impliziert, dass, wenn i im Zustand s ist, der andere Knoten i' unter normalen Betriebsbedingungen niemals die Nachricht m senden wird.
-
Eine Unregelmäßigkeit würde es somit darstellen, wenn der Knoten i eine bestimmte Nachricht m aufzeichnet, während i im Zustand s ist. Dies wäre insofern eine Anomalie, als gemäß obiger Definition kein anderer Knoten (z. B. keine andere ECU) außer i die Nachricht m senden darf, während i im Zustand s ist.
-
Der entsprechende Erkennungsmechanismus ist in 6 gezeigt. Der Mechanismus (16) implementiert eine Erkennungsregel (33), die angibt, dass es eine Anomalie darstellt, wenn der Knoten (22) die über den Bus (20) gesendete Nachricht m aufzeichnet (12), während i selbst die Nachricht nicht gesendet hat und sein aktueller Zustand s ist (17). Der Prozess (10) der Anomalie-Erkennung ist in 7 dargestellt.
-
Ein vierter Mechanismus fußt auf der Einsicht, dass bestimmte Nachrichten m, m', ... nur auf dem Bus (20) aufzeichnet werden oder von i empfangen werden können, wenn der Knoten i eine Nachricht ti sendet, während er sich im Zustand s befindet. Zum Beispiel sei angenommen, dass es eine Nachricht m gibt, die von einem Knoten (22), z. B. einer ECU, gesendet wird. Wenn m als eine Antwort auf die Nachricht ti des Knotens i oder aus anderen Gründen nach dieser übertragen wird, während i in einem bestimmten Zustand s ist, wird erwartet, dass die Nachricht m eine oder mehrere eindeutige Eigenschaften aufweist. Beispielsweise wird erwartet, dass die Werte eines oder mehrerer durch m übertragener Signale innerhalb eines bestimmten Bereichs liegen.
-
Insofern wäre eine Unregelmäßigkeit darin zu sehen, wenn der Knoten i nach dem Senden einer Nachricht t im Zustand s eine Nachricht m empfangen oder aufzeichnen würde, die eine oder mehrere der beschriebenen Eigenschaften verletzt.
-
Der entsprechende Erkennungsmechanismus ist in 8 gezeigt. Der Mechanismus (16) implementiert eine Anomalie-Erkennungsregel (34), die besagt, dass, wenn der Knoten i eine Nachricht ti gesendet hat (18), während er im Zustand s war (17), und eine Nachricht (11, 12) empfangen oder aufgezeichnet hat, die eine oder mehrere erwartete Eigenschaften verletzt, dies als eine Anomalie zu betrachten sei. Der Prozess (10) dieser Anomalie-Erkennung ist in 9 dargestellt.
-
Ein fünfter Mechanismus schließlich geht aus von der Annahme, dass bestimmte Nachrichten m, m', ... nie auf dem Bus (20) beobachtet werden, während sich der Knoten i in bestimmten Zuständen s, s, ... ∈ Si befindet. Wenn beispielsweise der Zustand des Knotens i impliziert, dass sich das Fahrzeug nicht bewegt, ist nicht von der Aufzeichnung von Nachrichten auszugehen, die die Fahrdynamik verändern.
-
Eine Unregelmäßig könnte sich vor diesem Hintergrund darin äußern, dass eine oder mehrere Nachrichten m, m', ... vom Knoten i aufgezeichnet werden, während dieser sich in einem der Zustände s, s, ... ∈ Si befindet.
-
Der entsprechende Erkennungsmechanismus ist in 10 gezeigt. Der Mechanismus (16) implementiert eine Anomalie-Erkennungsregel (35), die angibt, dass bestimmte Kombinationen (m, s), (m', s'), ... nicht erlaubt sind, und überwacht die Nachrichten m e Mj' die über den Bus j übertragen werden (12), sowie den internen Zustand s ∈ Si von i (17). Der Prozess (10) dieser Anomalie-Erkennung ist in 11 gezeigt.
-
In einer möglichen Erweiterung des Verfahrens (
10) können diejenigen der oben erläuterten Mechanismen (
16), welche die Zustandsinformation s ∈ S
i berücksichtigen (
17), dahingehend verbessert werden, mehrere aufeinanderfolgende Zustände zu berücksichtigen. Im Rahmen der folgenden Ausführungen bezeichne
den Zustand des Knotens i zum Zeitpunkt t (z. B. im entsprechenden Taktzyklus), zu dem die Anomalie auftritt. Die oben beschriebenen Mechanismen (
16) berücksichtigen nach dieser Definition lediglich diesen Zustand
Um die Anomalie-Erkennungsrate weiter zu verbessern und möglicherweise die Falsch-positiv-Rate zu reduzieren, ist es denkbar, k vorherige Zustände
zu berücksichtigen. Die Berücksichtigung dieser früheren Zustände erfordert zwar mehr Speicher zur Angriffserkennung, erhöht aber auch die Detektionseffizienz.
-
Dieses Verfahren (10) kann beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware beispielsweise in einem Steuergerät (22) implementiert sein.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102016221378 A1 [0003]
