Anomaly detection system for automotive CAN using LSTM autoencoders

Automotive security has gained significant traction in the last decade thanks to the development of new connectivity features that have brought the vehicle from an isolated environment to an externally facing domain. A vehicle has several embedded Electronic Control Units (ECUs), these are sensors and actuators used from simple tasks to safety-critical systems. Controller Area Network (CAN) is the de-facto protocol to communicate these ECUs, it has proven to be efficient, however, it presents several drawbacks in this new interconnected scenario. Researchers have presented vulnerabilities on ECUs, infotainment systems, and telematics units that can be exploited to gain access to the CAN bus. With access to the bus, an attacker can interfere with the normal flow of information, effectively altering the state of the car and putting the safety of drivers and others at risk. To detect these attacks, security experts and researchers have proposed several countermeasures, including the use of Intrusion Detection Systems (IDSs) which make for a great part of the published research. Given the pervasiveness of CAN and the infeasibility of changing the protocol, IDSs provide a tool to analyze CAN traffic that does not interfere with the regular operation of the bus. In this work, propose a data sequence anomaly detection approach that uses Long Short-Term Memory (LSTM) autoencoders. These models learn to reconstruct sequences using exclusively normal CAN traffic data. Our system uses the difference between reconstructions and real sequences to create a distribution of reconstruction errors, which describe legitimate traffic behavior. Using a set of simulated attacks, we demonstrate that sequence anomalies effectively alter this distribution and can be used for detection. We demonstrate that LSTM autoencoders are on average more effective at detecting anomalies on CAN data than the current state-of-the-art LSTM predictor-based detector; we run our anomaly tests on both detectors using a real-world dataset and the same experimental framework.

L’ambito della sicurezza informatica in campo automobilistico ha ricevuto una crescente attenzione dagli esperti e ricercatori nell’ultimo decennio. Ciò è dovuto agli sviluppi di nuove interfacce di comunicazione che hanno portato il veicolo dall’essere un ambiente isolato ad un dominio che si interfaccia con reti esterne. Ogni veicolo ha diversi sistemi embedded chiamati unità di controllo elettronico (o ECU). Queste centraline sono composte da sensori e attuatori che controllano diverse funzionalità, da quelle semplici come il controllo dei climatizzatori, a quelle critiche per la sicurezza come i sistemi anti bloccaggio dei freni. Diversi sistemi richiedono i dati forniti da più ECU, che pertanto devono essere collegate tra di loro. Il protocollo standard che collega tra di loro queste ECU all’interno del veicolo è chiamato Controller Area Network (CAN). CAN ha dimostrato di essere un protocollo efficiente che permette la comunicazione in tempo reale, tuttavia non è stato progettato tenendo conto dei requisiti di sicurezza informatica, non essendo prevedibile all’epoca l’inclusione, nel veicolo, di interfacce con sistemi esterni. Le vulnerabilità delle ECU sono state illustrate da diversi lavori di ricerca. È stato per esempio dimostrato che i sistemi infotainment o le unità di telematica possono essere utilizzate per ottenere accesso alla rete CAN. Ottenuto l’accesso, un attaccante può alterare il normale funzionamento delle ECU all’interno del veicolo, e quindi mettere a rischio la sicurezza delle persone attorno al veicolo. Diversi metodi sono stati proposti per rilevare i potenziali attacchi. Tra questi, l’uso di Intrusion Detection System (IDS) è quello sostenuto dalla maggior parte dei ricercatori ed esperti di sicurezza. Una delle principali problematiche dell’uso di IDS in campo automobilistico è che questi sistemi devono essere progettati per individuare attacchi, ma non è possibile ottenere esempi documentati di attacchi avvenuti realmente, si possono solo generare attacchi in laboratorio. Questa limitazione forza l’utilizzo di Anomaly Detection System (ADS), che funzionano creando un modello di riferimento che rappresenta il comportamento normale del sistema, in modo che qualsiasi deviazione da questo modello possa essere considerata come una anomalia. Nello stato dell’arte si trovano degli ADS per sistemi automotive che monitorano la frequenza dei messaggi, le caratteristiche fisiche dei segnali delle ECU, oltre che le sequenze di dati CAN. Analizzare sequenze di dati ci permette di rilevare anomalie che possono passare inosservate con altri metodi. Molti ADS di questo tipo usano metodi di machine learning per creare i modelli di riferimento, tra i quali ci sono le recurrent neural networks con Long Short-Term Memory (LSTM). Tra questi metodi si trovano gli autoencoders, una tecnica di apprendimento non supervisionato che permette di generare una rappresentazione compatta di sequenze di input. Questo tipo di reti neurali ci permette di creare un modello del meccanismo generatore dei dati, che impara a ricostruire le sequenze. In questa tesi proponiamo un metodo di anomaly detection in sequenze di dati CAN usando LSTM autoencoders. Questi vengono allenati usando traffico CAN di un veicolo reale, senza bisogno di esempi di attacchi. Il nostro sistema usa la differenza tra le ricostruzioni e le sequenze reali per generare una distribuzione degli errori di ricostruzione, che descrive le caratteristiche del traffico in condizioni non-anomale. Paragonando la distribuzione degli errori in condizioni normali con le distribuzioni ottenute con sequenze anomale simulate, dimostriamo che le seconde sono significativamente diverse rispetto alle prime. Questa differenza ci fornisce la base su cui creare un meccanismo che distingua sequenze anomale. Dimostriamo mediante esperimenti con dati CAN di un veicolo reale, condotti con gli stessi parametri sperimentali, che gli LSTM autoencoders sono in media più efficaci nel rilevamento di anomalie dei modelli di predizione su reti LSTM, che sono l’attuale stato dell’arte.