Lightweight multi-method intrusion detection for automotive Can Bus Networks

The Controller Area Network (CAN) bus, developed in the 1980s as a reliable and cost-effective communication protocol for automotive Electronic Control Units (ECUs), has become the standard for in-vehicle networks. While the protocol was chosen for its real-time performance and fault tolerance, it was designed without security mechanisms such as message authentication or encryption, as vehicles were considered isolated systems. Modern vehicles, however, are increasingly connected through external interfaces including Bluetooth, Wi-Fi, and cellular networks, transforming this security gap into a critical vulnerability. Recent research has demonstrated the feasibility of remote attacks capable of manipulating safety-critical systems including brakes, steering, and engine control, exposing the urgent need for practical defensive solutions. Intrusion Detection Systems (IDSs) have emerged as one of the most useful approaches for securing CAN networks. However, existing solutions face an important tradeoff: machine learning methods achieve high detection rates but require hardware incompatible with automotive ECUs, while lightweight approaches fit resource constraints but provide incomplete attack coverage.\\ This thesis explores the design and validation of a multi-method lightweight IDS pipeline that integrates Hamming distance-based payload analysis, residual timing-based monitoring, and watchdog timer supervision. We investigate two architectural configurations—serial two-stage filtering and parallel OR-logic configuration—to determine optimal strategies for combining detection methods. The system is evaluated on the X-CANIDS benchmark dataset across different attack types and validated through embedded implementation on simulated STM32 microcontroller hardware to assess practical deployability. By comparing performance against state-of-the-art machine learning and lightweight IDS approaches, this work demonstrates whether the combination of complementary detection methods can bridge the gap between detection effectiveness and deployment feasibility.

Il Controller Area Network (CAN) bus, sviluppato negli anni '80 come protocollo broadcast di comunicazione affidabile ed economico per le unità di controllo elettroniche (ECU) automobilistiche, è diventato lo standard per le reti veicolari interne. Sebbene il protocollo sia stato scelto per le sue prestazioni in tempo reale e per la sua tolleranza ai guasti, è stato progettato senza meccanismi di sicurezza come autenticazione o cifratura dei messaggi, poiché i veicoli erano considerati sistemi isolati. I veicoli moderni, tuttavia, sono sempre più connessi attraverso interfacce esterne, inclusi Bluetooth, Wi-Fi e reti cellulari, che trasformano questo gap di sicurezza in una vulnerabilità critica. Recenti ricerche hanno dimostrato la fattibilità di attacchi remoti, capaci di manipolare sistemi critici per la sicurezza, inclusi freni, sterzo e controllo motore, evidenziando l'urgente necessità di soluzioni di difesa pratiche. I sistemi di rilevamento delle intrusioni (IDS) sono considerati uno degli approcci più efficaci per la protezione delle reti CAN. Tuttavia, le soluzioni esistenti presentano un compromesso fondamentale: i metodi basati su machine learning raggiungono alti tassi di rilevamento ma richiedono hardware incompatibile con le ECU all'interno delle automobili odierne, mentre gli approcci più leggeri rispettano i vincoli di risorse ma forniscono una copertura incompleta degli attacchi.\\ Questa tesi esplora la progettazione e la validazione di una pipeline di IDSs multi-metodo che integra analisi del payload basata sulla distanza di Hamming, monitoraggio sul timing basato sui residui e supervisione tramite watchdog timer. In questo studio vengono investigate due configurazioni architetturali: un filtro sequenziale a due stadi e una configurazione parallela con logica OR. Il sistema viene valutato sul dataset di benchmark X-CANIDS attraverso diversi tipi di attacco e validato mediante implementazione embedded su hardware microcontrollore STM32 simulato, per valutarne la fattibilità pratica di deployment. Confrontando le prestazioni con approcci IDS allo stato dell'arte, basati su machine learning e a basso costo computazionale, questo lavoro dimostra che la combinazione di metodi di rilevamento complementari possa colmare il divario tra efficacia di rilevamento e fattibilità di deployment.