CANtera: a novel real-world dataset on advanced CAN attacks for intrusion detection systems

The trends in the automotive field are pushing the industry to rely increasingly on electronic components. This is evident in the dependency of car manufacturers on semiconductors and in the number of Electronic Control Units (ECUs) installed in cars which are growing rapidly. ECUs are specialized embedded systems that manage and control various electrical and electronic subsystems. Some of the tasks that they manage are safety-critical and require coordination and data sharing between them. The main bus on which they communicate and the de facto standard is the Control Area Network (CAN) protocol. It is a serial, broadcast-based communication protocol that efficiently supports distributed real-time control. Performance and cost-effectiveness were the main driving factors behind its initial design that led to its current problems. The security measures it adopts do not meet today’s standards. Additionally, combined with the fact that now some ECUs possess modules with Wi-Fi, Bluetooth, USB, and cellular communication technologies interfaces that expose the internal networks to the outside, make the vehicles even more vulnerable. The security problems of the protocol are attributed to certain implementation and design choices of CAN in combination with the lack of use of encryption and authentication mechanisms. As a solution to these problems, Intrusion detection systems (IDS) are the main defensive approach that is now being studied and developed. The type of IDS can vary substantially from work to work, but generally, these defensive systems rely on upto- date and comprehensive attack examples for evaluation and testing. In this work, our contribution is the development, to the best of our knowledge, of the first implementation of the masquerade attack for testing purposes. The masquerade attack is one of the principal attacks used for evaluating and testing IDSs, but an absence of concrete data has led to its classification as mainly a theoretical attack. We present our results of the attack as a new sub-dataset addition to an already widespread and established dataset to be used for IDS evaluation. Additionally, we present an analysis of the influence of the target choice on attack performance both in terms of reliability and stealthiness.

Le tendenze nel settore automobilistico stanno spingendo l’industria a fare sempre più affidamento sui componenti elettronici. Ciò è evidente nella dipendenza dei produttori automobilistici dai semiconduttori e dal numero di unità di controllo elettronico (ECU) installate nelle automobili, che è in rapida crescita. Le ECU sono sistemi integrati specializzati che gestiscono e controllano vari sottosistemi elettrici ed elettronici dell’auto. Alcune delle funzioni che gestiscono sono critiche per la sicurezza e richiedono coordinamento e la condivisione di dati tra loro. Il bus principale su cui comunicano, che è di fatto lo standard, è il protocollo CAN (Control Area Network). Si tratta di un protocollo di comunicazione seriale basato sulle trasmissioni broadcast e che supporta in modo efficiente il controllo distribuito in tempo reale. Le prestazioni e la ricerca del miglior rapporto costo-efficacia sono stati i principali fattori nello sviluppo del progetto iniziale che però hanno portato ai problemi attuali, ovvero le misure di sicurezza che adotta non soddisfano gli standard odierni. Inoltre, combinato con il fatto che ora alcune ECU possiedono moduli con interfacce Wi-Fi, Bluetooth, USB e tecnologie di comunicazione cellulare che espongono le reti interne all’esterno, rendono i veicoli ancora più vulnerabili. I problemi di sicurezza del protocollo sono attribuiti a determinate scelte di implementazione e progettazione di CAN in combinazione con la mancanza di utilizzo di meccanismi di crittografia e autenticazione. La principale soluzione, che è al momento in fase di studio e sviluppo, è basata sull’approccio difensivo dei sistemi di rilevamento delle intrusioni (IDS). La principale strategia adottata dagli IDS è basata sul riconoscimento delle anomalie. Funzionano trovando lo schema che sta dietro ad una o più caratteristiche del traffico, che viene poi utilizzato per definire il comportamento normale. Le deviazioni individuate da questo comportamento vengono quindi considerate come un attacco. L’approccio applicato agli IDS può variare in maniera sostanziale da un lavoro all’altro, ma generalmente questi sistemi difensivi si basano su esempi di attacchi completi e recenti per la valutazione e come test. In questo lavoro, il nostro contributo è lo sviluppo, per quanto a nostra conoscenza, della prima implementazione dell’attacco mascherato a scopo di test. L’attacco mascherato è uno dei principali attacchi utilizzati per valutare e testare gli IDS, ma la mancanza di dati concreti ha portato a classificarlo come un attacco teorico. Presentiamo i risultati del nostro attacco sotto forma di un nuovo un dataset che viene aggiunto come sottoinsieme ad un già popolare e consolidato dataset, da utilizzare per valutare gli IDS. Inoltre, presentiamo un’analisi dell’influenza della scelta del bersaglio sulle prestazioni dell’attacco sia in termini di affidabilità che di furtività.