49、基于堆叠 LSTM 的时间关键型汽车网络异常检测

基于堆叠 LSTM 的时间关键型汽车网络异常检测

1. CAN 2.0B 帧格式

CAN 消息由一个或多个信号值组成，每个信号包含与传感器值、执行器控制或 ECU 上任务的计算输出相对应的独立信息。信号与附加信息分组形成 CAN 帧，在 ECU 之间进行交换。CAN 2.0B 的帧格式如下：
| 部分 | 详情 |
| ---- | ---- |
| 头部 | 包含 11 位（CAN 标准）或 29 位（CAN 扩展）的唯一消息标识符和 6 位控制字段，开头还有 1 位的帧起始（SOF）字段 |
| 负载 | 64 位的负载段（绿色部分），包含多个信号，按 CAN 数据库（.dbc）文件中的定义以预定顺序排列 |
| 尾部 | 15 位的循环冗余校验（CRC）字段，还有两个 1 位分隔符，分隔 1 位确认（ACK）字段和 7 位的帧结束（EOF）字段 |

我们提出的 LATTE 框架主要对 CAN 帧的负载段进行操作，因为攻击者需要修改负载中的位来实现恶意目标，而修改头部或尾部段会使帧在接收 ECU 处失效。该技术与车载网络协议无关，可通过最小更改扩展到其他车载网络协议，如 CAN - FD 和 FlexRay。

2. 威胁模型

我们假设攻击者可以通过常见攻击向量（如连接车辆 OBD - II 端口、探测车载网络）和高级攻击向量（如连接 V2X ADAS 系统、不安全的信息娱乐系统或用恶意 ECU 替换可信 ECU）访问车载网络。攻击者还能获取或轻松获得车载网络参数，如波特率、流控制、通道信息和奇偶校验，这些信息可通过简单的 CAN 数据记录器获得，有助于传输恶意 CAN 消息。我们考虑了攻击者可在任何时刻