イベント送信付き周期型CAN通信に適したルールベース異常検知

• Item type: Symposium(1)
• 公開日: 2020-10-19
• タイトル: イベント送信付き周期型CAN通信に適したルールベース異常検知
• タイトル / 言語: en
• タイトル: Rule-Based Anomaly Detection for Mixed Interval (Periodic/ Sporadic) CAN Messages
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: Controller Area Network，イベント送信付き周期送信，挿入攻撃，異常検知，ルールベース
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属: NTTセキュアプラットフォーム研究所
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者所属(英): en
• 著者所属(英): NTT Secure Platform Laboratories
• 著者名: 松林, 勝; 小山, 卓麻; 岡野, 靖; 田中, 政志; 宮島, 麻美
• 著者名(英): Masaru, Matsubayashi; Takuma, Koyama; Yasushi, Okano; Masashi, Tanaka; Asami, Miyajima
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 自動車の制御通信プロトコルとしてController Area Network (CAN) がある．このCANの通信に対してのメッセージ挿入攻撃を検知する手法が多く提案されている．その中には，周期的な送信方式とイベントドリブンな送信方式が混在する「イベント送信付き周期型CAN通信」を対象とした手法がある．その手法は，CANメッセージの送信間隔やペイロードの値・変化量などの正常性を学習し，学習した正常性を基に異常検知を行っている．しかしペイロードの値・変化量のバリエーションは多く，その正常性を網羅的に学習するコストが高い．また学習漏れにより，False Positive (FP) が多く発生するという問題もその手法には存在する．そこで本研究では，イベント送信付き周期型CAN通信を分析し，バリエーションの多い特徴量の学習を行わずとも高精度で挿入攻撃を検知するのに有効な3つの特性を明らかにした．提案手法ではその特性をルール化し，そのルールを用いてイベント送信付き周期型CAN通信への挿入攻撃を検知する．実車に対して挿入攻撃を実施しつつ収集したデータを用いた評価によりTrue Positive Rate = 97.26%，FP Rate = 0.0002%を実現できたことを示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Controller Area Network (CAN) is a protocol used in vehicle control networks. It has been proposed that methods for detecting message injection attacks into CAN messages. Some of these are methods for detecting message injection attacks into mixed interval CAN messages that include periodic and sporadic transmissions. These methods detect anomalous CAN messages by learning normality of transmission intervals and payload. However, costs of learning the normality become high. Besides, these methods produce many false positives (FPs). We reveal three characteristics, which are effective to achieve high detection performance without learning normality. Our proposed method defines rules based on the three characteristics and detects message injection attacks to mixed interval CAN messages by using the rules. Our result shows that the proposed method achieved high detection performance: a true positive rate of 97.26% and a FP rate of 0.0002%.
• 書誌情報: コンピュータセキュリティシンポジウム2020論文集; p. 883-890, 発行日 2020-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会