13、汽车CAN网络入侵检测系统研究

汽车CAN网络入侵检测系统研究

1. 引言

随着汽车联网程度的不断提高，汽车安全研究变得愈发重要。黑客和安全研究人员已展示出远程突破车辆安全系统并获取未授权访问的能力，如2015年吉普切诺基被成功黑客攻击导致140万辆汽车召回。入侵检测系统（IDS）在信息安全研究中被广泛探讨，对车辆安全也具有重要意义，有效的IDS能帮助我们识别CAN网络上的恶意用户或活动。然而，与更通用环境下的IDS相比，针对CAN网络的IDS研究相对较少。本文将机器学习技术应用于CAN流量数据，用于用户活动分析和伪装行为检测，并对相关的IDS和伪装检测主题进行了广泛调研。

2. 背景知识

2.1 CAN总线

2008年后美国制造的汽车都配备了标准的内部控制器局域网（CAN），即CAN总线。车辆中的多个电子控制单元（ECUs）通过CAN总线进行通信，在车辆运行时发送和接收数据包。CAN总线取代了现代车辆中原本复杂的线束。CAN是一种消息广播系统，发送节点广播数据包，接收节点接收，其他节点丢弃。与以太网概念相似，但CAN速度较慢，不过能保证重要数据以更高优先级传输，适合汽车这种对安全要求高的环境。车辆网络的另一个重要组件是车载诊断（OBD - II）端口，多数车辆的该端口位于方向盘左下方，可用于检查发动机状况，也可用于嗅探CAN总线流量。汽车安全研究人员主要关注CAN总线的两个方面：一是突破车辆网络的可能性，二是基于数据包注入的攻击。

2.2 入侵检测基础

入侵检测系统（IDS）是信息安全领域的基本工具，其目的是在系统被入侵时通知用户。IDS与入侵预防系统（IPS）不同，IPS旨在预防攻击，而IDS用于检测已发生的攻击。IDS可在主机级、网络