DE112020003655T5

DE112020003655T5 - Sdn-basiertes eindrigungsverhinderungsverfahren für fahrzeuginternenetzwerke und system zur verwendung davon

Info

Publication number: DE112020003655T5
Application number: DE112020003655.3T
Authority: DE
Inventors: Huy Kang Kim; Seong Hoon JEONG; Seung Wook Park; Wha Pyeong Lim
Original assignee: Hyundai Motor Co; Korea University Research and Business Foundation; Kia Corp
Current assignee: Hyundai Motor Co; Korea University Research and Business Foundation; Kia Corp
Priority date: 2019-07-31
Filing date: 2020-07-31
Publication date: 2022-06-15
Also published as: US20220278994A1; WO2021020934A1; CN114467281A; CN114467281B

Abstract

Die vorliegende Offenbarung ist ein Eindringverhinderungs- (oder -Antwort)System zum Erkennen und Verhindern eines Eindringens in ein Fahrzeug mittels eines SDN-fähigen Schalters, der in einem fahrzeuginternen Netzwerk (IVN) installiert ist, und eines SDN-Controllers, der mit dem SDN-fähigen Schalter kommuniziert, wobei das Verfahren, bei dem der SDN-Unterstützungsschalter eine Paket-Eingangsnachricht an den SDN-Controller überträgt, ein Eindringungserkennungssystem (IDS) in die Lage versetzt, zu bestimmen, ob ein bestimmtes Paket ein Eindringungspaket ist, eine Aktion entsprechend einem Ergebnis der Bestimmung empfängt und eine Paket-Ausgangsnachricht an den SDN-fähigen Schalter sendet, um einen Fluss eines bestimmten Pakets zu steuern.

Description

TECHNISCHES GEBIET
Die vorliegende Offenbarung bezieht sich auf eine Technologie zur Erkennung und Blockierung eines Eindringens oder Angriffs auf ein fahrzeuginternes Netzwerk (IVN).
HINTERGRUND
Die in diesem Abschnitt beschriebenen Inhalte liefern lediglich Hintergrundinformationen für die vorliegende Ausführungsform und stellen keinen verwandten Stand der Technik dar.
Es wurden Nutzfahrzeuge entwickelt, die Vehicle-to-Everything-Kommunikation (Fahrzeug-zu-Allem; V2X) und netzbasierte Technologien für das autonome Fahren nutzen. So bieten beispielsweise IEEE 802.11 p Wireless Access in Vehicle Environment (WAVE), Dedicated Short-Range Communication (Spezifische Nahbereichskommunikation; DSRC) und V2X-Technologien die für vernetzte und automatisierte Fahrzeuge (Connected And Automated Vehicles; CAVs) erforderliche Konnektivität.
Um ein netzbasiertes autonomes Fahrsystem mit einer Vielzahl von Sensoren und Kameras als Knotenpunkte zu implementieren, muss ein fahrzeuggestütztes Kommunikationsprotokoll entwickelt werden, das hohe Bandbreiten unterstützen kann. Die traditionellen Ethernet-basierten Netzwerke haben das Problem, dass sie nicht vollständig mit CAVs kompatibel sind. Daher wurden ein Kfz-Ethernet und ein „hybrides Netz“ entwickelt, das ein Controller Area Network (Steuergerätenetzwerk; CAN), herkömmliches Ethernet und Kfz-Ethernet umfassen kann.
Eine Sicherheitsbedrohung, die auf dem Eindringen in ein Kommunikationsnetz oder -netzwerk beruht, stellt ein Hindernis für die Entwicklung von Nutzfahrzeugen dar, die V2X-Kommunikation und solche fahrzeuggestützten Netzwerke nutzen. 1 ist ein Diagramm, das die Klassifizierung der Arten von Sicherheitsbedrohungen in Fahrzeugen veranschaulicht. Zu den Angriffen, die die Sicherheit von Fahrzeugen bedrohen, gehören Angriffe, bei denen Privilegien gestohlen werden, Angriffe, bei denen keine Privilegien gestohlen werden, externe Angriffe, die auf Angriffsquellen basieren, und interne Angriffe auf fahrzeuginterne Elemente. Interne Angriffe werden in der Regel von Angreifern durchgeführt, indem sie sich physisch Zugang zu einem Zielfahrzeug verschaffen, um einen konkreten Schaden anzurichten, während externe Angriffe hauptsächlich sensorbasierte Systeme wie Nahbereichs-RF-Kommunikation über kurze Entfernungen, schlüssellose Zugangssysteme oder Reifendrucküberwachungssysteme verwenden, so dass ihr Gewicht begrenzt ist. In dem Maß, in dem die fahrzeuggestützte Konnektivität im IVN-Umfeld und die fahrzeugübergreifende Fahrzeug-zu-Fahrzeug Konnektivität im V2X-Umfeld zunehmen, werden die Auswirkungen externer Angriffe auf Fahrzeuge jedoch voraussichtlich zunehmen.
Daher wurde eine Methode zur Erkennung eines Eindringens in ein Controller Area Network (CAN)-basiertes IVN entwickelt. Als eine der Methoden zur Erkennung eines Eindringens wurde ein Verfahren zur Anwendung von maschinellem Lernen oder Deep-Learning-Algorithmen eingeführt, aber diese Algorithmen erfordern eine hohe Rechenleistung, um Verkehrsdaten zu testen und vorherzusagen oder zu bestimmen, ob ein Angriff oder ein Eindringen stattfindet. Dementsprechend wurde eine Off-Load-Erkennungsarchitektur als Alternative vorgeschlagen, aber die Off-Load-Erkennungsarchitektur weist ein Problem mit der Kompatibilität mit einer On-Load-Umgebung auf.
Selbst wenn ein Angriff oder ein Eindringen richtig erkannt wird, stellt sich das Problem, wie man den Angriff oder das Eindringen als Reaktion darauf abschwächen kann. Die bisher vorgeschlagenen Abschwächungsverfahren waren keine geeigneten Alternativen für Angriffe auf IVN-Fahrzeuge.
Mit anderen Worten, es fehlt an der Entwicklung eines technischen Rahmens für die Erkennung von und die angemessene Reaktion auf Fahrzeugrisiken, die V2X und IVN unterstützen. Derzeit unterstützt ein in ein Fahrzeug eingebautes Eindringungsverhinderungssystem (Intrusion Detection System; IDS) aufgrund der begrenzten Rechenleistung eines Fahrzeugsystems nur einfache Algorithmen. Daher ist es notwendig, ein Eindringungsverhinderungs-(oder Reaktions-)System zur Erkennung eines Eindringens und zum Vorschlagen einer Reaktion zu entwickeln, und die Beschränkungen einer derartigen Rechenleistung zu überwinden.
ZUSAMMENFASSUNG
[Technisches Problem]
Die vorliegende Offenlegung stellt ein Verfahren zur Erkennung und Verhinderung eines Angriffs auf ein Ethernet-basiertes In-Vehicle-Network (fahrzeuginternes Netzwerk; IVN) unter Verwendung von Software-Defined-Networking (softwaredefinierte Vernetzung; SDN)-Technologie und ein System zur Verfügung, das dieses Verfahren verwendet.
[Technische Lösung]
Gemäß einem Aspekt der vorliegenden Offenbarung wird ein Eindringungsverhinderungssystem für ein fahrzeuginternes Netzwerk (IVN) bereitgestellt. Das Eindringungsverhinderungssystem umfasst einen Software-Defined-Networking (SDN)-fähigen Schalter, der in dem IVN eines Fahrzeugs installiert und so konfiguriert ist, dass er einen Paketfluss eines ankommenden Pakets steuert, indem er sich auf einen Flusseintrag (Flow-Eintrag) in einer Flusstabelle (Flow-Tabelle) bezieht, der dem ankommenden Paket entspricht, und einen SDN-Controller, der so konfiguriert ist, dass er mit dem SDN-fähigen Schalter kommuniziert, das ankommende Paket von dem SDN-fähigen Schalter empfängt und eine dem ankommenden Paket entsprechende Aktion an den SDN-fähigen Schalter überträgt. Der SDN-Controller ist ferner so konfiguriert, dass er das ankommende bzw. eingehende Paket an ein Eindringungsverhinderungssystem (IDS) überträgt, so dass das IDS feststellt, ob es sich bei dem eingehenden Paket um ein Eindringungs-(Intrusion)Paket handelt, eine Aktion auf der Grundlage eines Bestimmungsergebnisses vom IDS empfängt und die empfangene Aktion als die dem eingehenden Paket entsprechende Aktion an den SDN-fähigen Schalter überträgt.
Gemäß einem anderen Aspekt der vorliegenden Offenbarung wird ein Verfahren zum Erkennen und Verhinderung eines Fahrzeugeindringens unter Verwendung eines Software-definierten Netzwerks (SDN), das in einem fahrzeuginternen Netzwerk (IVN) eines Fahrzeugs installiert ist, und eines SDN-Controllers, der sich entfernt vom Fahrzeug befindet, bereitgestellt. Das Verfahren umfasst: Übertragen einer Paket-Eingangs-Nachricht, die ein ankommendes Paket enthält, das von dem IVN fließt, durch den SDN-fähigen Schalter an den SDN-Controller; Empfangen der Paket-Eingangs-Nachricht durch den SDN-Controller und Übertragen der empfangenen Paket-Eingangs-Nachricht an ein Eindringungsverhinderungssystem (IDS); Aktivieren des IDS durch den SDN-Controller, um zu bestimmen, ob das ankommende Paket ein Eindringungspaket ist, und Empfangen einer Aktion durch den SDN-Controller auf der Grundlage eines Bestimmungsergebnisses von dem IDS; Übertragen einer Paket-Ausgangs-Nachricht, die die Aktion auf der Grundlage des Bestimmungsergebnisses enthält, durch den SDN-Controller an den SDN-fähigen Schalter; und Steuern eines Paketflusses des ankommenden Pakets durch den SDN-fähigen Schalter gemäß der Aktion auf der Grundlage des Bestimmungsergebnisses.
Gemäß einem weiteren Aspekt der vorliegenden Offenbarung wird in dem Verfahren zur Erkennung und Verhinderung eines Fahrzeugeindringens die Übertragung der Paket-Eingangs-Nachricht an den SDN-Controller durchgeführt, wenn ein Ereignis eintritt, dass es keinen extrahierten Flusseintrag gibt oder dass der extrahierte Flusseintrag abgelaufen ist, oder wenn ein Weiterleitung-an-Controller-Befehl (Forward-to-Controller Command) in einem Aktionsfeld des extrahierten Flusseintrags enthalten ist.
[Vorteilhafte Effekte]
Ein SDN-Schalter (SDN Switch) der vorliegenden Offenlegung kann den in ein IVN hinein fließenden Verkehr gleichzeitig überwachen und blockieren. Das heißt, der SDN-Schalter kann selektiv Verkehr blockieren, der als Angriff identifiziert wurde, während er den in ein Fahrzeug fließenden Verkehr auf der Grundlage einer Flusstabelle überwacht.
Da gemäß der vorliegenden Offenlegung nicht im IVN, sondern aus der Ferne bestimmt wird, ob es sich bei einem in ein Fahrzeug eindringenden Paket um ein Eindringungspaket handelt und welche Flusssteuerungsaktion auszuführen ist, kann ein Eindringungspaket auf der Grundlage einer hochleistungsfähigen Erkennungstechnologie erkannt werden, die eine hohe Rechenleistung erfordert, z. B. Deep Learning oder eine Methode der künstlichen Intelligenz, und zwar unabhängig von der internen Umgebung des Fahrzeugs, und es kann ein geeigneter Antwort- bzw. Reaktionsbefehl entsprechend einem Erkennungsergebnis ausgegeben werden. Darüber hinaus ermöglicht ein vom Fahrzeug entferntes Eindringungserkennungssystem eine Änderung oder Aktualisierung eines Erkennungsalgorithmus oder -modells in Echtzeit, unabhängig von der Fahrzeugumgebung.
Außerdem kann der interne Verkehr mehrerer Fahrzeuge gleichzeitig und umfassend an einem Ort überwacht werden. Dies ermöglicht eine präzisere Angriffserkennung, indem vage Anomalien erfasst werden, die bei einem einzelnen Fahrzeug schwer zu erkennen sind, und die erfassten Anomalien mit dem normalen Verkehr anderer Fahrzeuge verglichen werden.
Die Technologie der vorliegenden Offenlegung kann auch durch Hinzufügen eines SDN-Geräts zu einem üblichen Schalter (Switch) in einem bestehenden Ethernet-basierten Fahrzeug angewendet werden. Dementsprechend kann die Technologie der vorliegenden Offenlegung angewandt werden, während eine Änderung der Topologie des Ethernet-basierten IVN minimiert wird.
Figurenliste

1 ist ein Diagramm, das eine Klassifizierung der Arten von Sicherheitsbedrohungen in Fahrzeugen veranschaulicht.
2 ist ein konzeptionelles Diagramm, das die Architektur eines typischen Software-Defined Networking (SDN) veranschaulicht.
3 zeigt einen SDN-Controller und ein SDN-Gerät, die ein SDN-System bilden, sowie ein Konfigurationsfeld eines Flusseintrags, der eine im SDN-Gerät installierte Flusstabelle konfiguriert.
4 ist ein konzeptionelles Diagramm, das schematisch den Aufbau eines Eindringungsverhinderungssystem gemäß einer Ausführungsform der vorliegenden Offenbarung zeigt.
5 ist ein konzeptionelles Diagramm, das schematisch den Betrieb eines Eindringungsverhinderungssystems gemäß einer Ausführungsform der vorliegenden Offenbarung darstellt.
6A und 6B sind Diagramme, die eine beispielhafte Topologie eines fahrzeuginternen Netzwerks (IVN) gemäß einer Ausführungsform der vorliegenden Offenbarung zeigen.
7A und 7B sind Diagramme, die eine Topologie der Steuerebene einer zentralisierten und verteilten Struktur eines Eindringungsverhinderungssystems gemäß einer Ausführungsform der vorliegenden Offenbarung zeigen.
8A und 8B sind Diagramme, die eine Topologie eines Eindringungserkennungssystems (IDS) veranschaulichen, das für ein Eindringungsverhinderungssystem gemäß einer Ausführungsform der vorliegenden Offenbarung geeignet ist.
9A und 9B sind Flussdiagramme, die ein ereignisgesteuertes Verfahren zur Erkennung und Verhinderung eines Eindringens gemäß der vorliegenden Ausführungsform veranschaulichen.
10 ist ein Diagramm, das ein Anwendungsszenario zeigt, das die Nützlichkeit eines Eindringungsverhinderungssystems gemäß der vorliegenden Offenlegung unterstützt.

AUSFÜHRLICHE BESCHREIBUNG
Nachfolgend werden einige Ausführungsformen der vorliegenden Offenbarung unter Bezugnahme auf die beigefügten Zeichnungen im Detail beschrieben. Es ist zu beachten, dass beim Hinzufügen von Bezugszeichen zu den einzelnen Elementen in den jeweiligen Zeichnungen gleiche Bezugszeichen gleiche Elemente bezeichnen, auch wenn die Elemente in verschiedenen Zeichnungen dargestellt sind. Ferner wird in der folgenden Beschreibung der vorliegenden Offenbarung auf eine detaillierte Beschreibung bekannter Funktionen und Konfigurationen verzichtet, um den Gegenstand der vorliegenden Offenbarung nicht zu verdecken.
Darüber hinaus werden verschiedene Ausdrücke wie „erster“, „zweiter“, „A“, „B“, „a“, „b“ usw. nur zur Unterscheidung zwischen den einzelnen Komponenten verwendet, nicht aber, um die Substanzen, die Reihenfolge oder die Abfolge der Komponenten zu implizieren oder anzudeuten. Wenn in dieser Beschreibung ein Teil eine Komponente „enthält“ oder „umfasst2, bedeutet dies, dass das Teil auch andere Komponenten einschließt und nicht ausschließt, es sei denn, es wird ausdrücklich etwas anderes angegeben. Die Begriffe wie „Einheit“, „Modul“ und dergleichen beziehen sich auf eine oder mehrere Einheiten zur Verarbeitung mindestens einer Funktion oder eines Vorgangs, die durch Hardware, Software oder eine Kombination davon implementiert sein können.
Die ausführliche Beschreibung, die im Folgenden unter Bezugnahme auf die beigefügten Zeichnungen gegeben wird, soll beispielhafte Ausführungsformen der vorliegenden Erfindung erläutern und nicht die einzigen Ausführungsformen zeigen, die gemäß der vorliegenden Erfindung realisiert werden können.
Die vorliegende Offenlegung bezieht sich im Allgemeinen auf ein Eindringungsverhinderungsverfahren und ein Eindringungsverhinderungssystem zur Erkennung und Verhinderung eines Angriffs auf ein Ethernet-basiertes fahrzeuginternes Netzwerk (IVN) unter Verwendung einer Software-definierten Netzwerktechnologie (SDN).
SDN ist eine Technologie, die einen Steuerteil von Netzwerkgeräten wie Schaltern und Routern von einem Datenübertragungsteil der Netzwerkgeräte trennt und offene Schnittstellen für die Definition von Funktionen der Netzwerkgeräte bereitstellt, was die Entwicklung von Software ermöglicht, die verschiedene Netzwerkpfade und den Fluss des Netzwerkverkehrs über die offenen Schnittstellen einstellen, steuern und verwalten kann.
2 ist ein konzeptionelles Diagramm, das die Architektur eines typischen SDN zeigt. Die SDN-Architektur besteht aus drei Schichten, darunter eine Anwendungsschicht, eine Steuerungsschicht und eine Infrastrukturebene. Die Anwendungsschicht, die Steuerungsschicht und die Infrastrukturebene werden auch als Anwendungsebene, Steuerungsebene bzw. Infrastrukturebene (oder Datenebene) bezeichnet. Diese Schichten kommunizieren über offene Schnittstellen miteinander. Eine offene Schnittstelle zwischen der Anwendungs- und der Steuerungsebene, die als „Northbound-API“ („Nord-API) bezeichnet wird, ist eine API, die die Entwicklung von Anwendungen mit verschiedenen Funktionen und die Kommunikation mit anderen Betriebstools ermöglicht, wobei in der Northbound-API im Allgemeinen Restful-APIs verwendet werden. Eine offene Schnittstelle zwischen der Steuerungsschicht und der Infrastrukturebene, die als „Southbound-API“ („Süd-API“) bezeichnet wird, ist eine Schnittstelle für die Weiterleitungssteuerung, das Sammeln von Informationen usw. und kann z. B. OpenFlow, OF-config, Netconf usw. umfassen.
3 zeigt ein SDM-System mit einem SDN-Controller und einem SDN-Gerät sowie Felder eines Satzes von Flusseinträgen (Flow Entries), die in einer im SDN-Gerät installierten Flusstabelle (Flow Table) enthalten sind. Der SDN-Controller, der eine logische Einheit ist, befindet sich in der Steuerungsebene des SDN-Systems, und das SDN-Gerät, das eine Hardware-Vorrichtung ist, befindet sich in der Datenebene. Die im SDN-Gerät eingebaute Flow-Tabelle enthält die folgenden drei Hauptfelder, um ein vom SDN-Gerät empfangenes Paket zu verarbeiten. Die Hauptfelder umfassen Paketkopfinformationen (Regelfeld), die einen Fluss definieren, ein ACTION-Feld, das angibt, wie ein Paket zu verarbeiten ist, und ein STATS-Feld, das Statistiken für jeden Fluss (Flow) darstellt. Ein Controller kann Flow-Tabellen in einem Schalter (auch als Vermittlungsstelle oder Verzweigungseinheit bezeichnet) mithilfe der Southbound-API erstellen, die eine Funktion zur Registrierung eines neuen Flows oder zum Löschen eines Flows enthält.
4 ist ein konzeptionelles Diagramm, das schematisch den Aufbau eines Eindringungsverhinderungssystems gemäß einer Ausführungsform der vorliegenden Offenbarung zeigt.
Wie oben beschrieben, nutzt das Eindringungsverhinderungssystem (Intrusion Prevention System) 400 der vorliegenden Offenlegung die SDN-Technologie. Da es sich bei einem SDN um eine virtualisierte Architektur handelt, ist es nicht notwendig, die Komponenten physisch an einem Ort zu platzieren. Gemäß dem Eindringungsverhinderungssystem 400 der vorliegenden Offenlegung ist ein fahrzeuginternes Netzwerk (IVN) mit einem SDN-fähigen Schalter (kurz SDN-Schalter) 410 auf der Datenebene des SDN-Systems angeordnet, ein SDN-Controller 420 ist auf der Steuerungsebene des SDN-Systems angeordnet, und ein Eindringungserkennungssystem (Intrusion Detection System; IDS) 430 ist auf der Anwendungsebene des SDN-Systems angeordnet.
Das Eindringungsverhinderungssystem 400 trennt vom IVN eine logische oder physische Einheit, die durch Analyse des Zustands eines Fahrzeugs, in dem Verkehr stattfindet, und des Verkehrs bestimmt, ob ein Eindringen vorliegt, und bestimmt eine Reaktion, d.h. Antwort, entsprechend dem Ergebnis der Bestimmung, d.h. Feststellung, des IVN. Ein Betriebsgegenstand des IDS 430 kann sich von einem Betriebsgegenstand des SDN-Controllers 420 unterscheiden.
Der SDN-fähige Schalter 410, der im IVN vorgesehen ist, steuert den im IVN stattfindenden oder in das IVN fließenden Verkehr auf der Grundlage der Datenflusstabelle. Der SDN-Controller 420, der sich entfernt vom Fahrzeug befindet und über V2I-Kommunikation mit dem Fahrzeug verbunden ist, kann verdächtigen Verkehr vom SDN-fähigen Schalter 410 empfangen und eine Aktion des SDN-fähigen Schalters 410 in Bezug auf den verdächtigen Verkehr entsprechend einem Bestimmungsergebnis des IDS 430 dahingehend bestimmen, ob der empfangene Verkehr mit dem Eindringen eines Angreifers in Verbindung steht.
5 ist ein konzeptionelles Diagramm, das schematisch den Betrieb eines Eindringungsverhinderungssystem gemäß einer Ausführungsform der vorliegenden Offenbarung darstellt.
(SCHRITT 1) Angriff auf das Fahrzeug: Es erfolgt ein Angriff auf das Fahrzeug. Der Angriff kann entweder ein interner Angriff sein (z. B. fehlerhafte Pakete von einer beschädigten ECU (Steuergerät) oder ein externer Angriff (z. B. ein Versuch aus dem Internet oder von Fahrzeugen in der Nähe über V2V-Kommunikation).
(SCHRITT 2) Sammeln von Verkehrsinformationen: Der SDN-fähige Schalter 410 sammelt Pakete, die von innerhalb oder außerhalb des Fahrzeugs kommen, und die gesammelten Pakete werden über den SDN-Controller 420 an ein externes IDS übertragen.
(SCHRITT 3) Eindringungserkennung: Das IDS 430 analysiert ein eingehendes Paket mit verschiedenen Erkennungsmethoden. Das IDS 430 kann erkannte Angriffsinformationen selektiv an ein anderes IDS (nicht abgebildet) oder ein Analysesystem weiterleiten, um bei Bedarf eine genauere Entscheidung zu treffen. Das andere IDS (nicht abgebildet) oder Analysesystem kann eine detaillierte Paketprüfung, eine Netzwerk-Forensik, eine Identifizierung der Grundursache eines Angriffs, die Einrichtung und Verteilung einiger Gegenmaßnahmen im IDS 430 und Ähnliches durchführen.
(SCHRITT 4) Einsetzen der Aktion: Der SDN-Controller 420 empfängt eine Bestimmung eines Eindringens oder eine Aktion gemäß einem Bestimmungsergebnis vom IDS 430.
(SCHRITT 5) Reaktion auf ein Eindringen: Der SDN-fähige Schalter 410 entwickelt eine Operation zur Paketsteuerung (z. B. das Verwerfen eines Pakets, die Weiterleitung an einen Zielknoten, die vorübergehende Blockierung einer Eingangsquelle usw.).
Im Folgenden werden die Funktionen und der Betrieb des SDN-fähigen Schalters 410, des SDN-Controllers 420 und des IDS 430 im vorgeschlagenen Eindringungsverhinderungssystem 400 im Detail beschrieben.
Der SDN-fähige Schalter 410 ist im Fahrzeug angebracht und steuert den Fluss des gesamten Datenverkehrs oder der Pakete (im Folgenden zusammenfassend als „Pakete“ bezeichnet), die in dem IVN oder der V2X-Kommunikation des Fahrzeugs fließen. Der SDN-fähige Schalter 410 kann ein SDN-Schalter oder ein gewöhnlicher Schalter sein, der mit einem SDN-Gerät kombiniert ist, um in einer SDN-Umgebung zu arbeiten, ist aber nicht darauf beschränkt. Beispielsweise kann der SDN-fähige Schalter 410 gemäß der vorliegenden Ausführungsform ein beliebiger Schalter sein, solange der Schalter in der Lage ist, einen Fluss von Paketen zu steuern, die in einem IVN eines Fahrzeugs oder in einer V2X-Umgebung erzeugt werden, und mit dem SDN-Controller 420 der Steuerungsebene zu kommunizieren.
Der SDN-fähige Schalter 410 steuert die Pakete, die in den SDN-fähigen Schalter 410 fließen, mithilfe der Flow-Tabelle (Flusstabelle). Gemäß einem Aspekt dieser Ausführungsform vergleicht der SDN-fähige Schalter 410 paketbezogene Daten wie z. B. Portinformationen mit einem Regelfeld jedes Flusseintrags in der Flusstabelle und extrahiert dann einen Flusseintrag, der mit einem bestimmten Paket übereinstimmt, oder verweist auf einen solchen. Ein solcher Abgleich variiert in Abhängigkeit von einer Spezifikation der (nach Süden gerichteten) Southbound API, die einem Kommunikationsprotokoll zwischen dem SDN-fähigen Schalter 410 und dem SDN-Controller 420 entspricht. Wie in 4 dargestellt, kann das Regelfeld des Flusseintrags beispielsweise einen Schalter-Port, eine MAC-Quelle (Mac src), einen Ethernet-Typ (Eth Typ), eine VLAN-ID, eine IP-Quelle (IP src) usw. enthalten. In diesem Fall kann eine Übereinstimmung zwischen Paketdaten und einem Flusseintrag festgestellt werden, wenn (1) alle übereinstimmen, (2) innerhalb eines vorgegebenen Bereichs übereinstimmen, oder (3) mehr als eine vorgegebene Anzahl von Übereinstimmungen in Bezug auf die Spezifikation des Regelfeldes vorliegen. In diesem Fall kann es eine Vielzahl von Flusseinträgen geben, die mit dem gegebenen Paket übereinstimmen.
Wenn es einen Flusseintrag gibt, der mit dem eingehenden Paket übereinstimmt, extrahiert der SDN-fähige Schalter 410 den Flusseintrag und führt einen Befehl eines Aktionsfeldes des Flusseintrags aus. Gemäß einem Aspekt der vorliegenden Ausführungsform kann der SDN-fähige Schalter 410, wenn es eine Vielzahl von Flusseinträgen gibt, die mit dem eingehenden Paket übereinstimmen, auf ein Prioritätsfeld verweisen, das in jedem Flusseintrag enthalten ist, und einen Flusseintrag mit der höchsten Priorität unter der Vielzahl von Flusseinträgen extrahieren.
Die Übertragung aller Pakete, die in den SDN-fähigen Schalter 410 fließen, an den SDN-Controller 420 kann eine Verletzung der Privatsphäre und eine Verschwendung von Ressourcen verursachen. Gemäß einem Aspekt der vorliegenden Ausführungsform kann der SDN-fähige Schalter 410 daher ein ereignisgesteuertes Erkennungsverfahren verwenden, bei dem ein Paket nur dann übertragen wird, wenn ein bestimmtes Ereignis eintritt. Das „Ereignis“ bezieht sich auf einen Fall, in dem die Paketsteuerung nicht nur mit Hilfe der Datenflusstabelle durchgeführt werden kann, wie z. B. ein Fall, in dem es keinen Flusseintrag gibt, der auf das eingehende Paket abgestimmt ist, und ein Fall, in dem eine Gültigkeitsdauer des abgestimmten Datenflusseintrags bereits abgelaufen ist. Wenn ein solches Ereignis eintritt, geht der SDN-fähige Schalter 410 davon aus, dass es sich bei dem eingehenden Paket um ein neues Eindringungspaket handelt, das noch nicht vom Eindringungsverhinderungssystem 40 ermittelt oder untersucht wurde, und verwirft das eingehende Paket oder überträgt das eingehende Paket an den SDN-Controller zum Zweck der Eindringungserkennung 420. Wenn das Ereignis eintritt, kann die Paketübertragung durch Extrahieren eines Tabellenverfehlungseintrags mit der niedrigsten Priorität in der Flusstabelle und durch Ausführen eines Weiterleitungsbefehls an den Controller (Forward-to-Controller) Befehls, der in einem Aktionsfeld des Tabellenverfehlungseintrags enthalten ist, erreicht werden. Die Paketübertragung kann dadurch erreicht werden, dass der SDN-fähige Schalter 410 an den SDN-fähigen Schalter 410 eine Paketeingangsnachricht sendet, die das gesamte oder einen Teil des eingehenden Pakets und die mit dem eingehenden Paket verbundenen Daten enthält und in Übereinstimmung mit einer vom SDN-fähigen Schalter 410 und dem SDN-Controller 420 angenommenen Schnittstelle erzeugt wird. Das ereignisgesteuerte Eindringungsverhinderungsverfahren wird später unter Bezugnahme auf die 9A und 9B im Detail beschrieben.
Gemäß einem weiteren Aspekt der vorliegenden Ausführungsform kann das entsprechende Paket zur Überwachung an den SDN-Controller 420 übertragen werden, indem das Aktionsfeld des Flusseintrags, der mit dem spezifischen Paket übereinstimmt, so konfiguriert wird, dass es den Befehl „Forward-to-Controller“ enthält.
Der Flusseintrag kann außerdem ein Statistikfeld (STATS-Feld in 4) sowie das oben beschriebene Regelfeld und Aktionsfeld enthalten. Das Statistikfeld ist ein Feld zum Speichern statistischer Daten, die für Pakete gesammelt oder berechnet werden, und kann ein Zählerfeld enthalten. Das Zählerfeld zeichnet auf, wie oft das Regelfeld des Flusseintrags mit eingehenden Paketen übereinstimmt, und die Anzahl der Übereinstimmungen kann kumulativ erhöht oder in einigen Fällen mit einem voreingestellten Zeitraum initialisiert werden. Das Zählerfeld kann einen Übereinstimmungszähler enthalten, der so eingestellt ist, dass er die Anzahl der Übereinstimmungen mit den eingehenden Paketen innerhalb eines vorbestimmten Referenzwertes zählt, oder es kann ferner einen Bytezähler enthalten, der so eingestellt ist, dass er die Anzahl der Bytes pro Sekunde des übereinstimmenden Pakets zählt.
Der SDN-fähige Schalter 410 kann die Flow-Tabelle nur aktualisieren, wenn er eine Nachricht vom SDN-Controller 420 erhält. Der SDN-fähige Schalter 410 arbeitet in einem ausfallsicheren Modus, wenn die Kommunikation mit dem SDN-Controller 420 (z. B. die Kommunikation auf der Grundlage der Southbound-API) unterbrochen wird oder bis die Verbindung zum SDN-Controller 420 während des Kaltstarts (z. B. Motorstart) wieder aufgenommen wird. Im ausfallsicheren Modus kann der SDN-fähige Schalter 410 den Paketfluss auf der Grundlage einer von einem Fahrzeughersteller als Standard eingestellten Flusstabelle steuern. In diesem Fall arbeitet der SDN-fähige Schalter 410 wie ein gewöhnlicher Schalter.
Der SDN-Controller 420 empfängt ein Paket vom SDN-fähigen Schalter 410 und sendet das empfangene Paket an das IDS 430, und er empfängt ein Ergebnis zur Bestimmung eines Eindringungspakets und eine entsprechende Aktion vom IDS 430 und sendet die empfangenen Ergebnisse und die Aktion an den SDN-fähigen Schalter 410. Insbesondere empfängt der SDN-Controller 420 gemäß einem Aspekt der vorliegenden Ausführungsform eine Paket-Eingangsnachricht, die in Übereinstimmung mit einer Schnittstelle (z. B. der Southbound-API) erzeugt wird, die in der Kommunikation mit dem SDN-fähigen Schalter 410 verwendet wird, und die das gesamte Paket oder einen Teil davon enthält. Der SDN-Controller 420 wandelt die empfangene Paket-Eingangsnachricht (Packet-In Nachricht) so um, dass sie einer Spezifikation der für die Kommunikation mit dem IDS 430 verwendeten Schnittstelle (z. B. Northbound-API) entspricht, und sendet die umgewandelte Nachricht an das IDS 430. Der SDN-Controller 420 empfängt eine Aktion in Bezug auf einen Paketfluss vom IDS 430 und erzeugt eine Paket-Ausgangsnachricht (Packet-Out Nachricht). Der SDN-Controller 420 überträgt die Paket-Ausgangsnachricht an den SDN-fähigen Schalter 410, damit der SDN-fähige Schalter 410 die Flusstabelle aktualisieren oder den Fluss eines eingehenden Pakets entsprechend der Paket-Ausgangsnachricht steuern kann.
Der SDN-Controller 420 kann ein spezieller Controller für das SDN sein oder ein allgemeiner Controller, der mit einem SDN-Gerät kombiniert ist, um in einer SDN-Umgebung zu arbeiten, ist aber nicht darauf beschränkt. Beispielsweise kann der SDN-Controller 42 gemäß der vorliegenden Ausführungsform einen beliebigen Controller umfassen, solange der Controller in der Lage ist, in der IVN- oder V2X-Umgebung generierte Pakete zu verwalten und mit dem SDN-fähigen Schalter 410 oder einem mit dem SDN-fähigen Schalter 410 ausgestatteten Fahrzeug zu kommunizieren.
Der SDN-Controller 420 kann eine neue Regel generieren, die in der Lage ist, ein entsprechendes Paket herauszufiltern, je nachdem, ob es sich bei dem Paket um ein Eindringungspaket oder eine vom IDS 430 empfangene Aktion handelt, und kann ferner die generierte neue Regel in die Paket-Ausgangsnachricht aufnehmen. Eine solche neue Regel kann durch den Empfang von dem IDS 430 oder einem externen Gerät erzeugt werden.
Gemäß einem weiteren Aspekt der vorliegenden Ausführungsform kann der SDN-Controller 420 die Verwaltung einer (nach Süden gerichteten) Southbound-API-basierten Verbindung wie OpenFlow, Flow-Table-Management oder eine Paketstatistik-Sammlung mit einem oder mehreren SDN-fähigen Schaltern 410 durchführen, die in einem oder mehreren Fahrzeugen angebracht sind. Der SDN-Controller 420 kann auch die Verwaltung einer (nach Norden gerichteten) Northbound-API-basierten Verbindung, z. B. einer Ad-hoc-API, RESTful-API oder einer anderen Programmierschnittstelle, mit einem oder mehreren IDS (wie z. B. 430 in 4) übernehmen.
Der Betrieb des SDN-Controllers 420 wird am Beispiel von OpenFlow beschrieben.
Bei der ersten Verbindung mit dem SDN-fähigen Schalter 410 baut der SDN-Controller 420 beim Empfang der OFPT_HELLO-Nachricht mit einem Identifier (Identifizierer) und einer Datenpfad-ID (DPID) in der OpenFlow-Spezifikation eine Sitzung (Session) auf.
Wenn eine Tabellenfehler bzw. -verfehlung (Table Miss) auftritt, z. B. wenn es keinen Flusseintrag gibt, der zu einem eingehenden Paket in der Flusstabelle passt, sendet der SDN-fähige Schalter 410 eine OFPT_PACKET_IN-Nachricht an den SDN-Controller 420. Die OFPT_PACKET_IN-Nachricht enthält das eingehende Paket, das den Tabellenfehler verursacht hat. Nach dem Empfang der OFPT_PACKET_IN-Nachricht sendet der SDN-Controller eine OFPT_PACKET_OUT-Nachricht mit der OFPT_PACKET_IN-Nachricht und einer Antwort (z. B. einer Aktion) auf die OFPT_PACKET_IN-Nachricht an den SDN-fähigen Schalter 410. Bis zum Senden der OFPT_PACKET_OUT-Nachricht kann der SDN-Controller 420 das IDS 430 auffordern, festzustellen, ob das in der OFPT_PACKET_IN-Nachricht enthaltene eingehende Paket ein Eindringungspaket ist.
Der SDN-Controller 420 kann Flussstatistiken vom IDS 430 oder dem SDN-fähigen Schalter 410 anfordern. Beispielsweise kann der SDN-Controller 420 das IVN jedes Fahrzeugs regelmäßig periodisch überwachen, um festzustellen, ob eine Netzwerkanomalie vorliegt, und kann Statistiken eines einzelnen Flusseintrags, mehrerer Flusseinträge oder der Flusstabelle vom SDN-fähigen Schalter 410 oder dem mit dem SDN-fähigen Schalter 410 ausgestatteten Fahrzeug durch Nachrichten wie OFPMP_FLOW, OFPMP_AGGREGATE oder OFPMP_TABLE anfordern. Infolgedessen kann der SDN-Controller 420 einen Zeitstempel erhalten, der die Anzahl der Pakete im IVN, die Anzahl der Bytes und einen Abgleichungszeitpunkt mit den eingehenden Paketen für jeden Flusseintrag aufzeichnet.
Das IDS 430 kommuniziert mit dem SDN-Controller 420, empfängt ein Paket oder eine Paket-Eingangsnachricht, die das Paket vom SDN-Controller 420 enthält, bestimmt, ob das Paket ein Eindringungspaket ist, bestimmt eine Aktion für das Paket in Abhängigkeit davon, ob das Paket ein Eindringungspaket ist, und übermittelt die Aktion an den SDN-Controller 420. Gemäß einem Aspekt der vorliegenden Ausführungsform kann das IDS 430 beispielsweise dann, wenn das Zielpaket als Eindringungspaket bestimmt wird, einen Verwerfungsbefehl (Drop-Befehl) zum Verwerfen (Drop) des Zielpakets als Aktion bestimmen. Gemäß einem anderen Aspekt dieser Ausführungsform kann das IDS 430 im gleichen Fall als Aktion einen Befehl zum Verwerfen und Weiterleiten an den Controller (Drop und Forward-to-Controller Befehl) für die Art des Pakets festlegen. Diese Aktion veranlasst den SDN-fähigen Schalter 410, den Pakettyp im IVN zu verwerfen und den Pakettyp an den SDN-Controller 420 weiterzuleiten, damit der SDN-Controller 420 den Pakettyp überwachen kann.
Nachfolgend werden beispielhafte Topologien einer Datenebene, einer Steuerungsebene und einer Anwendungsebene des vorgeschlagenen Eindringungsverhinderungssystems unter Bezugnahme auf die 6A, 6B, 7A, 7B, 8A und 8B beschrieben.
6A und 6B sind Diagramme, die eine beispielhafte Topologie eines IVN gemäß einer Ausführungsform der vorliegenden Offenbarung zeigen.
6A zeigt eine beispielhafte Topologie eines IVN mit einer hybriden Struktur. Das dargestellte IVN umfasst verschiedene Ethernet-Geräte, Infotainment-Geräte, ein oder mehrere elektronische Steuergeräte (ECUs) und ein Ethernet-basiertes LAN mit einem SDN-Schalter, der mit diesen Geräten verbunden ist. Typischerweise können Hochgeschwindigkeits-Datenanwendungen wie ADAS (Advanced Driver-Assistance System) und Multimedia über ein Ethernet-basiertes LAN mit dem SDN-Schalter verbunden werden. Das abgebildete IVN umfasst einen Legacy-CAN-Bus für einige Anwendungen, für die Ethernet nicht geeignet ist, z. B. für Antriebssysteme, die eine Priorisierung von Nachrichten erfordern. Der Legacy-CAN-Bus kann über ein ETH-CAN-Gateway, das die Kommunikation zwischen Ethernet und dem CAN-Bus unterstützt, an den SDN-fähigen Schalter angeschlossen werden. Der SDN-Schalter kann über ein V2I-Kommunikationsmodem mit anderen Geräten kommunizieren, z. B. mit dem SDN-Controller 420 an einem entfernten Standort, mit Servern, Systemen usw.
6B zeigt eine beispielhafte Topologie eines Ethernet-basierten IVN. Das dargestellte IVN umfasst drei Schalter (d.h. Schalter 1, Schalter 2 und Basis-Schalter 3) und neun Steuergeräte (ECUs). Es ist zu beachten, dass die Anzahl der Schalter bzw. die Anzahl der ECU-Geräte je nach Art der Konfiguration der Topologie variieren kann. Um sicherzustellen, dass alle von den Steuergeräten erzeugten Pakete durch einen Schalter zu den jeweiligen Zielknoten geleitet werden, muss jedes Steuergerät allein mit dem Schalter verbunden sein, und mehrere Steuergeräte belegen nicht eine einzige Busleitung.
Schalter 1 und Schalter 2 sind SDN-fähige Schalter mit einer aktivierten SDN-Funktion. Die beiden Schalter sind mit dem SDN-Controller über ein drahtloses Modem verbunden, das für die Kommunikation zwischen dem Fahrzeug und einer externen Infrastruktur (d. h. V2I-Kommunikation) zuständig ist. Wenn eine Verbindung mit dem SDN-Controller hergestellt ist, verarbeiten Schalter 1 und Schalter 2 Pakete von ECU 1 bis ECU 6 auf der Grundlage von Aktionen, die sie vom SDN-Controller erhalten haben, und können die Aktion jedes Pakets nicht selbst bestimmen. Wenn jedoch die Verbindung mit dem SDN-Controller aufgrund eines Ausfalls des drahtlosen Modems unterbrochen wird, arbeiten Schalter 1 und Schalter 2 wie der Basisschalter 3, was nachstehend noch beschrieben wird. Dementsprechend kann das Fahrzeug, das auf dem Eindringungsverhinderungssystem 400 gemäß der vorliegenden Ausführungsform basiert, selbst in einem Notfall einen normalen Betrieb aufrechterhalten (z. B. einen ausfallsicheren Betrieb) und es ermöglichen, dass jede Funktion des Eindringungsverhinderungssystem s400 selektiv angewendet wird.
Gemäß einem Befehl oder einer Aktion, die vom SDN-Controller empfangen wird, können Schalter 1 und Schalter 2 Pakete, die als Angriff betrachtet werden, blockieren, ohne die Pakete an andere ECUs weiterzuleiten, und zusätzlich können Schalter 1 oder Schalter 2 sie zur Nachanalyse an den SDN-Controller übermitteln. Die Feststellung oder Bestimmung, ob es sich bei dem Paket um ein Eindringen eines Angreifers handelt, wird von einem externen Eindringungserkennungssystem vorgenommen.
Der Basis-Schalter 3 ist kein SDN-fähiger Schalter gemäß der vorliegenden Ausführungsform, sondern ein herkömmlicher Schalter, der MAC-Adresslernen durchführt und an ein bestehendes Fahrzeug angepasst wurde. Wenn der Basis-Schalter 3 das Ziel eines von ECU 7 an ECU 9 gesendeten Pakets kennt, leitet der Basis-Schalter 3 das Paket an einen bestimmten Port weiter, und wenn der Basis-Schalter 3 das Ziel nicht kennt, sendet der Basis-Schalter 3 das Paket an alle Ports. Der Basis-Schalter 3 unterstützt keine Funktion zum Sammeln von Paketinformationen für eine Eindringungs-Erkennung/Verhinderung und empfängt keine Aktion zur Steuerung eines Paketflusses von einem externen Gerät wie dem SDN-Controller.
Die 7A und 7B sind Diagramme, die eine Topologie der Steuerungsebene einer zentralisierten Struktur und einer verteilten Struktur eines Eindringungsverhinderungssystems gemäß einer Ausführungsform der vorliegenden Offenbarung zeigen.
Typischerweise kann der SDN-Controller, der in der Steuerungsebene angeordnet ist, Daten an SDN-Schalter innerhalb einer Vielzahl von Fahrzeugen senden und von diesen empfangen. 7A zeigt eine zentralisierte Struktur, in der ein einziger SDN-Controller alle Pakete von Fahrzeugen verwaltet. Das IDS der vorliegenden Offenbarung kann den beabsichtigten Zweck auch mit nur einem SDN-Controller erreichen, es können aber auch mehrere SDN-Controller eingeführt und unter Berücksichtigung von Latenz und Lastausgleich betrieben werden. 7B zeigt eine verteilte Struktur, in der jeder von mehreren Basis-SDN-Controllern ein oder mehrere Fahrzeuge verwaltet, die physisch oder logisch nahe beieinander liegen. Die SDN-Controller können beispielsweise in einem Edge-Cloud-Server oder einem Fog-Server für jede Basis implementiert sein. Die SDN-Controller für jede Basis können eine primäre Kommunikation mit einem Fahrzeug durchführen, das sich physisch oder logisch in ihrer Nähe befindet, und ein entsprechendes Ergebnis an einen zentralen SDN-Controller liefern. In der zentralisierten Architektur führt der einzelne SDN-Controller eine Kommunikation mit dem IDS 430 über die Northbound-API durch, und in der verteilten Architektur führt der zentrale SDN-Controller die Kommunikation mit dem IDS 430 über die Northbound-API durch.
Die 8A und 8B sind Diagramme, die die Topologie eines IDS veranschaulichen, das für ein Eindringungsverhinderungssystem gemäß einer Ausführungsform der vorliegenden Offenbarung verwendet wird.
Das kürzlich vorgeschlagene, auf Deep Learning basierende IDS benötigt mehr Ressourcen wie z. B. einen Grafikprozessor, um präzise Erkennungsergebnisse zu erzielen. Ein in ein Fahrzeug eingebautes Computersystem verfügt über die für das Fahren erforderliche Mindestleistung und daher ist das Computersystem für den Betrieb des Deep-Learning-basierten IDS ungeeignet. Ein IDS, das sich außerhalb des Fahrzeugs befindet, muss bei der Berechnung von Eindringungserkennungs-Algorithmen keine Rücksicht mehr auf die Leistung des Fahrzeugs nehmen. Daher kann das vorgeschlagene System zur Verhinderung von Einbrüchen ein IDS verwenden, das einen präzisen Algorithmus zur Erkennung von Einbrüchen einsetzt, der eine hohe Rechenleistung erfordert, wie z. B. ein Deep-Learning-Algorithmus, der in 8A dargestellt ist.
In dem vorgeschlagenen Eindringungsverhinderungssystem können mehrere IDS gleichzeitig betrieben werden. Jedes IDS ist für die Erkennung von Eindringlingen für ein bestimmtes Protokoll zuständig (z. B. IDS 1 für SSH, IDS 2 für AVTP, IDS 3 für UDP). Alternativ kann, wie in 8B dargestellt, eine Ensemble-Technik verwendet werden, bei der die Erkennungsergebnisse mehrerer IDS mit unterschiedlichen Erkennungsalgorithmen verwendet werden.
Die Anordnung des IDS entfernt vom Fahrzeug und nicht innerhalb des IVN bietet eine große Flexibilität beim Betrieb des Eindringungsverhinderungssystems. Das IDS kann in Echtzeit aktualisiert werden, unabhängig vom Standort oder Status des zu analysierenden Fahrzeugs. So kann das IDS beispielsweise ein Modell oder einen Algorithmus zur Erkennung von Eindringlingen dynamisch hinzufügen, neu konfigurieren oder entfernen, selbst wenn das zu analysierende Fahrzeug fährt. Wird in einem einzelnen Fahrzeug eine neue Funktion eingeführt oder ein neues Angriffsmuster gegen ein einzelnes Fahrzeug entdeckt, kann ein Betreiber (oder ein Dienstanbieter) das Erkennungsmodell anhand der entsprechenden Daten aktualisieren.
9A und 9B sind Flussdiagramme, die ein ereignisgesteuertes Verfahren zur Erkennung und Verhinderung von Eindringlingen gemäß der vorliegenden Ausführungsform veranschaulichen.
Wenn ein ausgelöstes Ereignis eintritt (z. B. ein Tabellenfehler oder Tabellenverfehlung (Table Miss)) eines eingehenden Pakets oder das Auslaufen eines Flusseintrags, der einem eingehenden Paket entspricht), verwirft der ereignisgesteuerte Algorithmus das Paket, blockiert den Verkehr von einer entsprechenden Quelle und post-analysiert anschließend den Paketfluss, um einen Angriff zu verhindern.
9A zeigt einen Prozess, bei dem der SDN-fähige Schalter 410 und der SDN-Controller 420 eine ereignisgesteuerte Eindringungserkennung durchführen.
Wie in 9A zu sehen ist, wird ein Paket von der IVN- oder V2X-Umgebung an den SDN-fähigen Schalter 410 weitergeleitet (S900), wenn ein Fahrzeug (z. B. CAV), auf das das I Eindringungsverhinderungssystem 400 gemäß der vorliegenden Ausführungsform angewendet wird, losfährt.
Der SDN-fähige Schalter 410 stellt fest, ob in einer Flow-Tabelle (S902) ein Flow-Eintrag mit einem auf das Paket abgestimmten Regelfeld vorhanden ist (S902).
Wenn es einen übereinstimmenden Flow-Eintrag gibt, bestimmt der SDN-fähige Schalter 410, ob ein Paket-Drop-Befehl (ein Befehl zum Verwerfen von Paketen) in einem Aktionsfeld des übereinstimmenden Flow-Eintrags enthalten ist (S904), und wenn es keinen Paket-Drop-Befehl (Befehl zum Verwerfen von Paketen) gibt, führt der SDN-fähige Schalter 410 einen Befehl des Aktionsfelds ohne das Verwerfen von Paketen (d. h. ohne einen Paket-Drop) aus (S906).
Liegt ein Paket-Drop-Befehl (Befehl zum Verwerfen von Paketen) vor, verwirft der SDN-fähige Schalter 410 das Paket und blockiert den entsprechenden Datenverkehr (S912).
Wenn es keinen dem eingehenden Paket zugeordneten Flow-Eintrag gibt oder wenn der zugeordnete Flow-Eintrag abläuft, so dass es keinen zugeordneten Flow-Eintrag mehr gibt, sendet der SDN-fähige Schalter 410 eine Paket-Eingangsnachricht (eine Paket-In-Nachricht), die das eingehende Paket und Ereignisinformationen wie eine Portnummer enthält, an den SDN-Controller 420, der sich entfernt vom Fahrzeug befindet (S910), verwirft (drop) das eingehende Paket und blockiert den entsprechenden Verkehr von der entsprechenden Quelle (S912).
Der SDN-Controller 420 empfängt die Paket-In-Nachricht vom SDN-fähigen Schalter 410 (S920) und sendet die empfangene Paket-In-Nachricht an das IDS 430 (S922).
Der SDN-Controller 420 bestimmt, ob die ereignisgesteuerte Eindringungserkennung durchgeführt wird auf der Grundlage einer schwarzen Liste (Blacklist) (S924), und wenn die ereignisgesteuerte Eindringungserkennung auf der Grundlage einer schwarzen Liste durchgeführt wird, sendet der SDN-Controller 420 eine Paket-Ausgangs-Nachricht (Paket-Out-Nachricht), die das eingehende Paket, das in der Paket-Eingangs-Nachricht enthalten war, und die Weiterleitungsaktion (Forwarding-Aktion) an den SDN-fähigen Schalter 410 enthält (S926, S952). Wenn bei der Blacklist-basierten Erkennung von Eindringungen ein Tabellenfehler für ein bestimmtes Paket auftritt, wird das bestimmte Paket als nicht in der Blacklist enthalten angesehen und zuerst weitergeleitet. In diesem Fall wird der Angriff nicht erkannt und das bestimmte Paket nicht verworfen, bis das bestimmte Paket später als Eindringungspaket bestimmt wird.
Wenn die ereignisgesteuerte Eindringungserkennung nicht auf einer Blacklist basiert, d. h. wenn die ereignisgesteuerte Eindringungserkennung auf Basis einer Whitelist (weißen Liste) durchgeführt wird, sendet der SDN-Controller 420 nicht sofort eine Paket-Out-Nachricht an den SDN-fähigen Schalter 410 (S928), sondern wartet vielmehr auf ein Bestimmungsergebnis vom IDS 430 und sendet dann die Paket-Out-Nachricht einschließlich einer gemäß dem Bestimmungsergebnis bestimmten Aktion an den SDN-fähigen Schalter 410 (S952). Die Paket-Out-Nachricht kann gegebenenfalls auch das Paket enthalten, das in der Paket-In-Nachricht enthalten war. Bei der Whitelist-basierten Eindringungserkennung wird, wenn ein Tabellenfehler für ein bestimmtes Paket auftritt, das bestimmte Paket als nicht in einer Whitelist enthalten betrachtet, und ein Paketfluss wird später gemäß einem Bestimmungsergebnis gesteuert.
Der SDN-fähige Schalter S400 empfängt die Paket-Out-Nachricht (S960) und aktualisiert die Flow-Tabelle (S962). Eine solche Aktualisierung kann das Hinzufügen eines neuen Flow-Eintrags, das Aktualisieren der Ablaufinformationen eines abgelaufenen Flow-eintrags oder jedes Feld eines Flow-Eintrags oder das Beibehalten der Flow-Tabelle umfassen, wenn es keine neuen Inhalte gibt, die aktualisiert werden müssen.
Wenn die empfangene Paket-Out-Nachricht ein Paket enthält (S964), steuert der SDN-fähige Schalter S400 einen Paketfluss gemäß einer in der Paket-Out-Nachricht enthaltenen Aktion (S966).
9B zeigt einen Prozess, bei dem das IDS 430 eine ereignisgesteuerte Erkennung von Eindringungen durchführt.
Das IDS 430 empfängt die Paket-Eingangsnachricht (Paket-In-Nachricht) vom SDN-Controller 420 (S930) und führt eine Eindringungserkennung durch (S932).
Wenn festgestellt wird, dass es sich bei dem in der Paket-In-Nachricht enthaltenen Paket nicht um ein Eindringungspaket handelt (S934), gibt das IDS 430 keine Aktion für das Paket an (S937), wenn die Eindringungserkennung auf einer schwarzen Liste basiert (S936). Dies liegt daran, dass der SDN-Controller 420 die Paket-Ausgangsnachricht (Paket-Out-Nachricht), die die Weiterleitungsaktion enthält, bereits in den Schritten S926 und S952 übermittelt hat. In diesem Fall übermittelt das IDS 430 kein Bestimmungsergebnis an den SDN-Controller 420.
Wenn die Eindringungserkennung nicht auf einer schwarzen Liste basiert (S936), d. h. wenn die Eindringungserkennung auf einer weißen Liste basiert, baut das IDS 430 einen Weiterleitungsbefehl in die Aktion ein (S938).
Wenn bestimmt wird, dass es sich bei dem in der Paket-Eingangsnachricht enthaltenen Paket um ein Eindringungspaket handelt (S934), fügt das IDS 430 einen Befehl zum Verwerfen des Pakets in die Aktion für das Paket ein (S940).
Das IDS 430 überträgt eine Aktion für das Paket an den SDN-Controller S420 als Bestimmungsergebnis (S942). Zu den Übertragungsdaten können hier das Paket selbst, mit dem Paket verbundene Daten, das Bestimmungsergebnis usw. gehören.
10 ist ein Diagramm, das ein Anwendungsszenario zeigt, das die Nützlichkeit eines Eindringungsverhinderungssystems gemäß der vorliegenden Offenbarung unterstützt.
(1) Wenn ein Angriff erkannt d. h. erfasst wird, übermitteln alle Fahrzeuge die erkannten Angriffsinformationen über den SDN-Controller auf einem Cloud- oder Fog-Server an das IDS. In diesem Fall kann eine straßenseitige Einheit (Road Side Unit; SU) die Kommunikation zwischen einem benachbarten Fahrzeug und jedem Server weiterleiten. Ein Kommunikationsverfahren der RSU kann auf Nahfeldkommunikation (NFC), Bluetooth Low Energy (BLE), drahtlosem LAN (WIFI), Ultrabreitband (UWB), Funkfrequenz, Infrarot-Datenverbindung (IrDA), Zigbee, LTE oder 5G basieren.
(2) Wenn ein bestimmtes Fahrzeug, bei dem es sich um eines der Fahrzeuge handelt, auf die das Eindringungsverhinderungssystem oder -Verfahren der vorliegenden Offenbarung angewandt wird, angegriffen wird, überträgt das in dem bestimmten Fahrzeug eingebaute IDS Informationen über den Angriffsverkehr oder Pakete, bei denen der Verdacht besteht, dass es sich um einen Angriff handelt, an den Cloud-Server oder den Fog-Server.
(3) Der SDN-Controller auf dem Cloud- oder Fog-Server sendet die Informationen über den Angriffsverkehr oder die Pakete an das IDS, und das IDS analysiert die Daten. Wenn bestimmt wird, dass ein Angriff vorliegt, sendet das IDS über den SDN-Controller einen Warnbefehl an jedes Fahrzeug in der Nähe, damit es einen Umweg fährt.
(4) Wenn die Fahrzeug-zu-Fahrzeug-Kommunikation (V2V) aktiviert ist, kann das betreffende Fahrzeug seinen Zustand mit benachbarten Fahrzeugen teilen.
(5) Wenn die Fernsteuerung durch ein externes Gerät zulässig ist, kann das externe Gerät das bestimmte Fahrzeug so steuern, dass es auf Anforderung des Cloud-Servers oder des Fog-Servers abbremst und anhält.
Obwohl in den 5, 9A und 9B beschrieben wird, dass jeder Prozess nacheinander ausgeführt wird, ist dies lediglich eine Veranschaulichung der technischen Idee einer Ausführungsform der vorliegenden Offenbarung. Mit anderen Worten: Der Fachmann, auf den sich eine Ausführungsform der vorliegenden Offenbarung bezieht, kann verschiedene Modifikationen und Variationen vornehmen, wie z. B. die Ausführung des Prozesses durch Änderung der in den 5, 9A und 9B beschriebenen Reihenfolge oder die parallele Ausführung eines oder mehrerer Prozesse jedes Prozesses, ohne von den wesentlichen Merkmalen einer Ausführungsform der vorliegenden Offenbarung abzuweichen, und somit ist die vorliegende Offenbarung nicht auf die zeitliche Abfolge der 5, 9A und 9B beschränkt.
Verschiedene Implementierungen der hier beschriebenen Systeme und Techniken können durch digitale elektronische Schaltungen, integrierte Schaltungen, feldprogrammierbare Gate-Arrays (FPGAs), anwendungsspezifische integrierte Schaltungen (ASICs), Computerhardware, Firmware, Software und/oder Kombinationen davon realisiert werden. Diese verschiedenen Implementierungen können die Implementierung als ein oder mehrere Computerprogramme umfassen, die auf einem programmierbaren System ausführbar sind. Das programmierbare System umfasst mindestens einen programmierbaren Prozessor (bei dem es sich um einen Spezialprozessor oder einen Allzweckprozessor handeln kann), der so gekoppelt ist, dass er Daten und Befehle von einem Speichersystem, mindestens einer Eingabevorrichtung und mindestens einer Ausgabevorrichtung empfängt und Daten und Befehle an diese überträgt. Computerprogramme (auch bekannt als Programme, Software, Softwareanwendungen oder Code) enthalten Anweisungen für einen programmierbaren Prozessor und sind auf einem „computerlesbaren Medium“ gespeichert.
Das computerlesbare Aufzeichnungsmedium umfasst alle Arten von Aufzeichnungsgeräten, in denen von einem Computersystem lesbare Daten gespeichert sind. Bei dem computerlesbaren Aufzeichnungsmedium kann es sich um nichtflüchtige oder nichttransitorische Medien handeln, wie z. B. ROM, CD-ROM, Magnetband, Diskette, Speicherkarte, Festplatte, magneto-optische Platte und Speichervorrichtung, und es kann ferner ein transitorisches Medium wie ein Datenübertragungsmedium umfassen. Darüber hinaus kann das computerlesbare Aufzeichnungsmedium in einem netzverbundenen Computersystem verteilt sein, und ein computerlesbarer Code kann auf verteilte Weise gespeichert und ausgeführt werden.
Verschiedene Implementierungen der hier beschriebenen Systeme und Techniken können durch einen programmierbaren Computer implementiert werden. In diesem Fall umfasst der Computer einen programmierbaren Prozessor, ein Datenspeichersystem (einschließlich eines flüchtigen Speichers, eines nichtflüchtigen Speichers oder anderer Arten von Speichersystemen oder Kombinationen davon) und mindestens eine Kommunikationsschnittstelle. Bei dem programmierbaren Computer kann es sich beispielsweise um einen Server, ein Netzwerkgerät, eine Set-Top-Box, ein eingebettetes Gerät, ein Computererweiterungsmodul, einen Personalcomputer, einen Laptop, einen Personal Data Assistant (PDA), ein Cloud-Computing-System oder ein mobiles Gerät handeln.
Bezugszeichenliste

400: Eindringungsverhinderungssystem
410: SDN-fähiger Schalter
420: SDN-Controller
430: Eindringungserkennungssystem (IDS)

QUERVERWEIS AUF EINEN VERWANDTE ANMELDUNGEN
Diese Anmeldung beansprucht die Priorität der koreanischen Patentanmeldung Nr. 10-2019-0093503 , die am 31. Juli 2019 eingereicht wurde, und der koreanischen Patentanmeldung Nr. 10-2020-0095518 , die am 30. Juli 2020 eingereicht wurde und deren gesamter Inhalt hier durch Bezugnahme aufgenommen ist.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

KR 1020190093503 [0093]
KR 1020200095518 [0093]

Claims

Eindringungsverhinderungssystem für ein fahrzeuginternes Netzwerk, IVN, wobei das Eindringungsverhinderungssystem umfasst: einen Software-definierten Netzwerk, SDN, fähigen Schalter, der in dem IVN eines Fahrzeugs installiert und so konfiguriert ist, dass er einen Paketfluss eines eingehenden Pakets durch Bezugnahme auf einen Flusseintrag in einer Flusstabelle, der dem ankommenden Paket entspricht, steuert; und einen SDN-Controller, der so konfiguriert ist, dass er mit dem SDN-fähigen Schalter kommuniziert, das eingehende Paket von dem SDN-fähigen Schalter empfängt und eine dem eingehenden Paket entsprechende Aktion an den SDN-fähigen Schalter überträgt, wobei der SDN-Controller ferner so konfiguriert ist, dass er das eingehende Paket an ein Eindringungserkennungssystem, IDS, überträgt, so dass das IDS bestimmt, ob das eingehende Paket ein Eindringungspaket ist, eine Aktion auf der Grundlage eines Bestimmungsergebnisses von dem IDS empfängt und die empfangene Aktion an den SDN-fähigen Schalter als die Aktion, die dem eingehendem Paket entspricht, überträgt.
Eindringverhinderungssystem nach Anspruch 1, wobei der Flusseintrag ein Regelfeld, ein Aktionsfeld und ein Zählerfeld umfasst, und wobei der SDN-fähige Schalter ferner so konfiguriert ist, dass er Daten des eingehenden Pakets mit dem Regelfeld jedes Flusseintrags der Flusstabelle vergleicht, einen Flusseintrag extrahiert, in dem die Anzahl der Übereinstimmungen oder ein Übereinstimmungsbereich gleich oder größer als ein bestimmter Referenzwert ist, das Zählerfeld des extrahierten Flusseintrags aktualisiert und einen Fluss des eingehenden Pakets gemäß dem Aktionsfeld des extrahierten Flusseintrags steuert.
Eindringverhinderungssystem nach Anspruch 1, wobei wenn die Kommunikation zwischen dem SDN-fähigen Schalter und dem SDN-Controller verbunden ist, der SDN-Schalter ferner so konfiguriert ist, dass er die Aktion von dem SDN-Controller empfängt und die Flusstabelle aktualisiert, und wenn die Kommunikation zwischen dem SDN-fähigen Schalter und dem SDN-Controller unterbrochen wird oder wenn das Fahrzeug kalt gebootet wird, der SDN-fähige Schalter außerdem so konfiguriert, dass er das eingehende Paket auf der Grundlage einer voreingestellten Flusstabelle als gemeinsamer Schalter steuert.
Verfahren zum Erkennen und Verhindern einer Fahrzeugeindringung unter Verwendung eines Software-definierten Netzwerk, SDN, fähigen Schalters, der in einem fahrzeuginternen Netzwerk, IVN, eines Fahrzeugs installiert ist, und eines SDN-Controllers, der sich entfernt vom Fahrzeug befindet, wobei das Verfahren umfasst: Übertragen einer Paket-Eingangsnachricht, die ein von dem IVN eingegangenes Paket enthält, durch den SDN-fähigem Schalter an den SDN-Controller; Empfangen der Paket-Eingangsnachricht durch den SDN-Controller und Übertragen der empfangenen Paket-Eingangsnachricht an ein Eindringungserkennungssystem (IDS); Aktivieren des IDS durch den SDN-Controller, um zu bestimmen, ob es sich bei dem eingehenden Paket um ein Eindringungspaket handelt, und Empfangen einer Aktion durch den SDN-Controller auf der Grundlage eines Bestimmungsergebnisses von dem IDS; Übertragen einer Paket-Ausgangsnachricht, die die Aktion auf der Grundlage des Bestimmungsergebnisses enthält, durch den SDN-Controller an den SDN-fähigen Schalter; und Steuern eines Paketflusses des eingehenden Pakets durch den SDN-fähigen Schalter gemäß der auf dem Bestimmungsergebnis basierenden Aktion.
Verfahren nach Anspruch 4 ferner umfassend: Extrahieren eines mit dem eingehenden Paket übereinstimmenden Flusseintrags aus einer Flusstabelle durch den SDN-fähigen Schalter.
Verfahren nach Anspruch 5, wobei der Flusseintrag ein Regelfeld enthält, und wobei das Extrahieren eines Flusseintrags, der mit dem eingehenden Paket übereinstimmt, umfasst: Vergleichen der Daten des eingehenden Pakets mit dem Regelfeld jedes Flusseintrags; und Extrahieren eines Flusseintrags, bei dem die Anzahl der Übereinstimmungen oder ein Übereinstimmungsbereich gleich oder größer als ein bestimmter Referenzwert ist.
Verfahren nach Anspruch 6, wobei der Flusseintrag außerdem ein Prioritätsfeld enthält, und wobei das Extrahieren eines Flusseintrags, der mit dem eingehenden Paket übereinstimmt, umfasst: wenn eine Vielzahl von Flusseinträgen aus der Flusstabelle extrahiert wird, Extrahieren eines Flusseintrags, der mit dem eingehenden Paket übereinstimmt, auf der Grundlage des Prioritätsfeldes jedes Flusseintrags.
Verfahren nach Anspruch 6, wobei das Übertragen der Paket-Eingangsnachricht an den SDN-Controller durchgeführt wird, wenn ein Ereignis eintritt, dass es keinen extrahierten Flusseintrag gibt oder dass der extrahierte Flusseintrag abgelaufen ist, oder wenn ein Weiterleiten-an-Controller-Befehl in einem Aktionsfeld des extrahierten Flusseintrags enthalten ist.
Verfahren nach Anspruch 8, wobei das Übertragen der Paket-Eingangsnachricht an den SDN-Controller das Verwerfen des eingehenden Pakets beinhaltet, wenn das Ereignis eintritt; und wobei, wenn bestimmt wird, dass es sich bei dem eingehenden Paket nicht um ein Eindringungspaket handelt, die Paket-Ausgabenachricht weiterhin das eingehende Paket enthält.
Verfahren nach Anspruch 9, wobei, wenn es sich bei dem eingehenden Paket um ein Eindringungspaket handelt, die Paket-Ausgabenachricht ferner eine neue Regel zum Extrahieren des eingehenden Pakets enthält.
Verfahren nach Anspruch 4, ferner umfassend: Senden einer Paket-Ausgangsnachricht durch den SDN-Controller an den SDN-fähigen Schalter, bevor der SDN-Controller die Aktion auf der Grundlage des Bestimmungsergebnisses von dem IDS empfängt, wobei die Paket-Ausgangsnachricht das eingehende Paket und eine Aktion zum Anweisen einer Weiterleitung des eingehenden Pakets enthält.
Verfahren nach Anspruch 4, ferner umfassend: Aktualisieren der Flusstabelle durch den SDN-fähigen Schalter auf der Grundlage der Packet-Ausgangsnachricht.