Améliorer la cybersécurité dans les réseaux de véhicules grâce à l'analyse de timing

Dans les véhicules modernes, il y a un système de réseau appelé le Controller Area Network (CAN) qui permet à différentes unités électroniques de communiquer entre elles. Ce système est crucial pour le bon fonctionnement des différentes fonctions du véhicule. Cependant, avec la connexion accrue des voitures, le risque de cyberattaques a augmenté. Pour résoudre ce problème, des chercheurs développent des moyens de détecter les attaques sur le système CAN. Cet article discute des différentes méthodes pour identifier une activité inhabituelle dans le réseau CAN en analysant le timing des messages.

#Le besoin de détection d'Anomalies

Avec la complexité croissante des véhicules, grâce à des fonctionnalités comme le stationnement autonome et des systèmes de sécurité avancés, les menaces cybernétiques augmentent. Les réseaux informatiques traditionnels ont des systèmes de détection d'intrusions (IDS) qui aident à identifier les violations de sécurité, et des systèmes similaires sont désormais explorés pour l'industrie automobile. Ces systèmes analysent souvent les modèles de communication pour reconnaître quand quelque chose ne va pas, comme un message malveillant envoyé aux unités de contrôle électroniques (ECU) du véhicule.

Cependant, de nombreuses études de recherche existantes sur ce sujet souffrent de limitations. Beaucoup ne donnent pas assez de détails pour que d'autres puissent reproduire leurs résultats ou comparer de nouvelles méthodes avec d'anciennes. Souvent, les ensembles de données utilisés dans la recherche ne sont pas accessibles au public, ce qui rend difficile de s'appuyer sur des travaux précédents. Cet article vise à surmonter ces limitations en offrant une comparaison claire des différentes méthodes axées sur la détection des timings de message inhabituels dans la communication CAN.

#Qu'est-ce que le CAN ?

Le Controller Area Network (CAN) est un protocole de communication conçu pour des applications automobiles. Il connecte diverses ECU comme le module de contrôle du moteur, l'unité de contrôle de la transmission et les fonctionnalités de sécurité. Le CAN assure que ces unités peuvent partager des informations et travailler ensemble sans avoir besoin d'un ordinateur central.

Une des caractéristiques uniques du CAN est sa capacité à gérer plusieurs messages simultanément sans interférence. Il utilise une méthode appelée arbitrage bit à bit pour gérer la communication. Quand deux ECU essaient d'envoyer des messages en même temps, celle avec la priorité la plus élevée peut continuer tandis que l'autre attend.

Les messages envoyés sur le réseau CAN sont structurés d'une manière spécifique. Chaque message a un identifiant unique, un code de longueur de données, et les données réelles transmises. L'identifiant est crucial parce qu'il indique de quelle ECU provient le message et son importance. Les messages avec des valeurs d'identifiant plus basses sont traités comme ayant une priorité plus élevée.

#Pourquoi le timing est important

L'Analyse de timing implique de regarder les intervalles de temps entre les messages pour détecter des anomalies. De nombreuses attaques sur le réseau CAN impliquent l'envoi de messages à des moments inattendus. En surveillant le timing des messages, il est possible d'identifier quand une attaque a lieu.

Par exemple, si une ECU envoie un message plus fréquemment que prévu, cela peut indiquer que quelque chose ne va pas, comme une attaque par déni de service (DoS), où un acteur malveillant inonde le réseau de messages. De même, si un message n'arrive pas quand il est censé arriver, cela peut suggérer qu'un message important a été bloqué ou supprimé.

#Problèmes avec la recherche actuelle

De nombreuses études sur la détection d'intrusions CAN ont plusieurs problèmes communs :

1. Disponibilité des données : La plupart des recherches s'appuient sur des ensembles de données privés qui ne sont pas partagés publiquement, rendant difficile la reproduction des résultats par d'autres.

2. Manque de détails sur l'implémentation : Beaucoup d'études décrivent leurs algorithmes à un niveau élevé sans fournir assez de détails pour que d'autres puissent les mettre en œuvre correctement.

3. Différents critères : Les études évaluent souvent les algorithmes en utilisant des critères différents, ce qui rend difficile la comparaison des performances entre les études.

4. Comparaisons limitées : Les nouveaux algorithmes sont souvent évalués sans considérer les anciens, ce qui entraîne une compréhension incomplète de leur efficacité.

Ces problèmes freinent les progrès et rendent difficile pour les chercheurs et les professionnels de l'industrie de s'appuyer sur des travaux passés.

#Solutions proposées

Pour résoudre ces problèmes, notre travail propose une évaluation complète de huit algorithmes différents qui détectent les anomalies dans les messages CAN en se basant sur le timing.

#Accès ouvert aux données et au code

Une des contributions principales est la disponibilité publique des ensembles de données et du code utilisés pour évaluer ces algorithmes. En partageant ces ressources, nous espérons permettre à d'autres chercheurs de reproduire nos résultats et de s'en servir.

#Analyse détaillée des performances de détection

L'objectif principal est de fournir une comparaison impartiale des performances de détection de ces algorithmes par rapport à deux ensembles de données accessibles au public. Cela permet une meilleure compréhension de la performance de chaque algorithme face à différents types d'attaques.

#Vue d'ensemble des algorithmes de détection

Ici, nous décrivons brièvement les huit algorithmes que nous avons évalués. Chacun se concentre sur la détection d'anomalies dans le timing des messages CAN de différentes manières.

1. Algorithme A : Cet algorithme détecte les anomalies en comparant le timing des messages reçus avec le timing attendu, déclenchant des alarmes quand des écarts se produisent.

2. Algorithme B : En utilisant des données historiques, cette méthode établit une base de timing normal et signale les messages qui sortent de cette norme.

3. Algorithme C : Cet algorithme cible spécifiquement les messages avec des cycles de temps connus, visant à détecter quand des messages sont envoyés à des intervalles irréguliers.

4. Algorithme D : En utilisant des fenêtres glissantes, cette méthode analyse les différences de temps entre les messages consécutifs pour identifier les anomalies.

5. Algorithme E : En se concentrant sur les fréquences des messages, cet algorithme identifie quand la fréquence des messages dévie du taux attendu.

6. Algorithme F : Ce Système de détection d'intrusions utilise le timing des horloges pour créer des empreintes de chaque ECU et détecte toute déviation par rapport à cette base.

7. Algorithme G : Semblable à l'algorithme F, cette méthode utilise des techniques statistiques pour analyser le timing des messages et détecter les anomalies.

8. Algorithme H : Cet algorithme se concentre sur l'identification des messages manquants, aidant à détecter quand des messages cruciaux ne sont pas transmis.

#Description des ensembles de données

Pour nos expériences, nous avons travaillé avec deux ensembles de données : l'ensemble de données Ventus et l'ensemble de données OTIDS. Les deux ensembles de données ont été recueillis à partir de réseaux CAN de véhicules réels.

#Ensemble de données Ventus

L'ensemble de données Ventus a été collecté à partir d'un véhicule Volvo via une connexion OBD-II. Il comprend un trafic normal de messages CAN et des sections où des attaques ont été injectées. L'ensemble de données comprend plus d'un million de messages couvrant diverses conditions et scénarios de conduite.

#Ensemble de données OTIDS

L'ensemble de données OTIDS a été recueilli à partir d'un véhicule KIA Soul et contient à la fois un trafic normal et des scénarios d'attaques simulées. Cet ensemble de données comprend plusieurs types d'attaques par injection pour fournir une riche source d'informations pour tester les algorithmes.

#Évaluation expérimentale

Pour évaluer la performance des algorithmes, nous avons mesuré dans quelle mesure ils pouvaient détecter des anomalies de timing dans les deux ensembles de données. Voici les critères clés que nous avons utilisés :

• Taux de vrais positifs (TPR) : La proportion d'anomalies réelles correctement identifiées par l'algorithme.

• Taux de faux positifs (FPR) : La proportion de messages normaux incorrectement signalés comme des anomalies.

• Score F1 : La moyenne harmonique de la précision et du rappel, fournissant un équilibre entre faux positifs et faux négatifs.

#Résultats de l'ensemble de données Ventus

Lors de nos tests des algorithmes sur l'ensemble de données Ventus, nous avons observé des niveaux de performance variables. Quelques résultats clés incluent :

• Certains algorithmes ont bien fonctionné contre des types spécifiques d’attaques, tandis que d'autres ont eu du mal.

• Les algorithmes qui reposaient sur des méthodes statistiques avaient tendance à atteindre une précision plus élevée dans la détection d'anomalies lorsque plus de messages étaient injectés.

• La performance des algorithmes s'est souvent améliorée à mesure que le temps de cycle des messages augmentait, indiquant que les messages avec des taux d'envoi plus rapides étaient plus difficiles à analyser efficacement.

#Résultats de l'ensemble de données OTIDS

Les résultats de l'ensemble de données OTIDS ont mis en lumière certaines tendances supplémentaires :

• Pour le scénario d'attaque d'imitation, certains algorithmes ont pu signaler un pourcentage élevé de messages manipulés, tandis que d'autres n'ont détecté aucun.

• Les comportements des algorithmes variaient selon le type d'attaque, suggérant que certains algorithmes sont plus adaptés à des scénarios spécifiques que d'autres.

#Conclusion

En résumé, détecter les anomalies dans la communication CAN par l'analyse du timing est un domaine de recherche vital dans la cybersécurité automobile. En abordant les limitations des études actuelles et en fournissant une comparaison détaillée de divers algorithmes de détection, nous visons à faire progresser le domaine et à aider à garantir un fonctionnement plus sûr des véhicules.

Nos ensembles de données et implémentations en accès libre permettront à d'autres chercheurs et professionnels de s'appuyer sur ce travail, améliorant finalement la sécurité des véhicules modernes face aux menaces cybernétiques. Alors que la technologie continue d'évoluer, garder les réseaux de véhicules sécurisés reste une préoccupation pressante qui mérite une attention et une recherche continues.