52、TENET：高效的汽车网络异常检测框架

TENET：高效的汽车网络异常检测框架

1. 现有方法的局限性

在汽车网络安全领域，利用机器学习进行异常检测是一个热门方向。像堆叠LSTM和自注意力机制的方法，会在训练阶段学习系统的正常行为，并使用一类支持向量机（OCSVM）分类器来识别异常消息。诸如此类的机器学习方法表明，LSTM和GRU等序列模型在检测车辆攻击方面很受欢迎。

然而，随着车辆功能复杂性的显著增加，电子控制单元（ECU）之间交换的消息存在非常长的依赖关系。传统的序列模型，如GRU和LSTM，难以有效捕捉这些依赖关系。这主要是因为它们当前时间步的输出受近期时间步的影响较大，而受遥远过去时间步的影响较小，使得捕捉长期依赖关系极具挑战性。此外，处理长序列还会加剧LSTM和GRU的计算和内存开销。

目前，现有的异常检测系统（ADS）都没有提供一种全面的方法，能够以低内存开销有效学习车内网络消息之间的长期依赖关系，并准确检测车内网络上的各种简单和复杂攻击。

2. TENET框架概述

TENET框架由三个关键阶段组成：
1. 数据收集和预处理 ：从可信车辆收集车内网络数据并进行预处理。
2. 学习 ：离线使用预处理后的数据以无监督方式训练时间卷积神经注意力（TCNA）网络，学习正常操作系统行为。
3. 评估 ：在线使用训练好的TCNA网络计算差异分数（DS），最后使用基于决策树的分类器根据计算出的DS检测各种网络攻击。

2.1 数据收集和预处理

在这一阶段，必须从可信车辆收集无恶意软件的车内网络数