[2025-11-18] AntibotV

🦥 본문

Background

Vehicular Networks

네트워크 스택 아키택처 : DSRC 표준

• 네트워크 계층 : IEEE 1609.3 표준. WSMP (Wave Short Message Protocol)와 IPv6의 두 가지 프로토콜 스택을 지원
  • IPv6+UDP/TCP : 멀티홉 패킷 전송을 위한 라우팅 기능에 의존하는 애플리케이션에 사용
  • WSMP : 안전 및 애플리케이션처럼 싱글홉 메시지 전송에 필요한 애플리케이션에 사용
• 메시지 형식 : BSM(현재 정보 및 상태를 제공하기 위해 주기적으로 전송)과 CSR
• WSM 패킷을 통한 통신 동작 흐름
  1. 서비스 제공자는 자신의 고유 PSID가 담긴 알림을 브로드캐스트
  2. 사용자 장치들이 알림을 수신하면 자체 테이블에서 PSID를 비교하고 확인 시 통신을 함

• 차량 내 아키텍처

  

  • ECU : 전자 제어 장치. 센서와 actuators로 구성. 센서로 입력을 받아 actuators로 기능 구현
  • CAN(Controller Area Network) bus : ECU 간의 통신을 위한 버스. 게이트웨이로 연결된 두 개 유형의 버스가 사용
    • 고속 CAN 버스 : 주요 모듈(파워트레인, 브레이크) 통신에서의 사용
    • 저속 CAN 버스 : 다른 유형의 모듈 통신에서의 사용
    • CAN 버스 전송은 순차적으로 이루어짐. 충돌 시 CSMA-CR MAC 프로토콜 사용. 충돌을 피하기 위해 프레임 헤더에 있는 우선순위를 사용
      • CSMA/CR : 버스 사용인지 감지 후 충돌이 발생하면 식별자를 통해 우선순위에 따라 중단/전송 여부가 결정

Threat Model

DDoS Attacks

1. WSMP 플러드

   공격자가 알 수 없는 PSID 필드 값을 가진 WSM 패킷을 피해 차량에 많이 보냄. 테이블을 조회 및 비교를 하는 데 자원 고갈시킴

2. Geo WSMP 플러드

   더 광범위한 영향. 특정 지리적 영역 내의 모든 이웃에게 브로드캐스트. 여러 차량의 자원을 고갈

정보 절도

• 차량 내 감청 : 음성이나 저전력 레이저 속에 악성 명령을 가상 비서 도구(SiRi)에게 전달하여 녹음 및 원격 서버에 전송
• GPS 추적 : 위치를 추적하여 봇 마스터에게 주기적으로 전송

차량 내 공격

1. 프레임 위조 및 주입 : CAN 프레임은 별도의 인증 없이 평문으로 브로드캐스트. 악성코드가 프레임을 검색 및 분석 가능. 캡쳐된 데이터를 사용하여 봇 악성코드는 오류가 포함된 가짜 프레임을 위조.
   • 연료 잔량 위조, 속도계 판독 값 변경, 운전자를 오도할 수 있는 고장 정보 표시
2. 재전송 공격 : 악성코드에 의해 캡처된 데이터를 반복하여 공격.
   • 문 열기, 엔진 시동 걸기, 라이트 켜기, 원격으로 차량 운전하기
3. DoS 공격 : 가장 작은 식별자로 전송되는 메시지가 우선 순위가 높기 때문에 채널을 버스를 독점. 브레이크 ECU로 가는 CAN 프레임을 막을수 있음

AntibotV Framework

1. 트래픽 수집 모듈

   네트워크 트래픽 수집기는 플로우 단위로 차량 내 트래픽 수집기는 패킷 단위로 수집 후 분석기 모듈로 전송

2. 분석기 모듈

   지도 학습 ML 알고리즘을 사용하여 훈련된 분류기를 사용. 악성 해동이 감지되면 관리자 모듈에 경보를 전송 후 트래픽을 무시

   • 훈련 알고리즘
     1. Naive Bayes Algorithm : 확률적 분석기. 베이즈 설정에서 최대 사후 확률 결정 규칙을 사용하여 분류 수행. 강한 독립성을 가정하여 다른 속성에 영향을 미치지 않음을 가정
     2. 서포트 벡터 머신(SVM) : 각 데이터를 n 차원의 한 점으로 표시. n은 features 수.
     3. K-NN : 훈련 샘플 간 최소 거리를 기반으로 K개의 가장 가까운 이웃 결정. 그 후 단순 다수결을 채택하여 쿼리 인스턴스의 예측을 삼음
     4. 의사 결정 트리 : 엔트로피와 정보 이득을 메트릭으로 사용하는 ID3 알고리즘을 사용
     5. 랜덤 포레스트 : 앙상블 방식으로 작동하는 다수의 개별 의사 결정 트리. 개별 트리는 클래스 예측을내놓고 가장 많은 투표를 얻은 클래스가 모델의 최종 예측
     6. 신경망 : ML 알고리즘. MLP를 사용.

3. 관리자 모듈

   • DoS 공격은 네트워크 세션을 즉시 종료하고 다른 공격들은 운영자에게 통지 후 조치. 브레이크 비활성화 같은 공격은 즉각적으로 통지하고 급하지 않은 경우에는 정지한 순간에 통지
   • 재실행을 방지하기 위해 의심 애플리케이션 및 파일을 보고 후 제거
   • 모델의 정확도가 저하됨을 감지할 때마다 지금까지 수집한 트래픽을 클라우드로 전송 후 재훈련

Experimentation

• 네트워크 트래픽 데이터셋
  • 생성
    • 정상 트래픽 : 데이터셋이 없어서 애플리케이션을 구현하여 생성
    • 악성 트래픽 : 시뮬레이션을 통해 생성
  • Feature 추출 : CICFlowMeter라는 네트워크 트래픽 흐름 생성기를 사용하여 특징 추출
    • feature
      • 시간 기반 : 패킷 사이 간격을 통해 DoS 탐지, 정보 절도 같은 주기적인 이벤트 탐지
      • 바이트/패킷 기반 : DoS의 징후인 대규모 비정상 트래픽 증가를 탐지
  • 전처리 : cleaning, 정규화, 결측값 처리, 스케일링
  • 특징 추출 알고리즘 : 실험 결과 순방향 알고리즘을 선택
    • 순방향 알고리즘 : 빈 특징 집합에서 성능을 향상시키는 가장 좋은 특징을 추가하는 방식

• 차량 내 트래픽 데이터셋

  차의 CAN 버스에 연결하여 프레임 생성. 네트워크 트래픽 데이터셋과 같은 전처리 작업 수행

• 실험 기준

  60%는 훈련 및 검증. 40%는 테스트하는 데 사용.

  • 정확도
  • 정밀도
  • 재현율
  • F1 점수
  • 오탐률
  • 위음성률

네트워크 내 트래픽 탐지와 차량 내 트래픽 탐지 모두 의사 결정 트리가 가장 좋은 탐지율과 낮은 오탐률을 보여줌

비교

SHEILDNET : 기존의 GHOST 프로토콜을 통한 탐지 방식은 프로토콜에 제약. 차량 내 공격을 탐지할 수 없음

AntibotV : 프로토콜에 제약이 없고 차량 내 공격도 탐지 가능. 성능도 더 좋음.

GIDS : 정상적인 CAN 프레임을 통해 학습한 모델을 통해 이상 탐지 방식. 알려지지 않은 공격을 탐지할 수 있지만 오경보의 가능성과 큰 자원 소모가 제약됨. 성능도 AntibotV가 더 좋음

DSN 메커니즘 : 저속 디도스 공격자의 위치를 탐지, 완화, 역추적하는 시스템. 하지만 다른 방식의 공격에는 효과적이지 않음.

결론

• 한계

  더욱 현실적이고 다양한 데이터셋이 필요. 학습되지 않은 유형의 공격을 탐지하는 데 한계.

• DSRC 표준이 아닌 Cellular based V2X에 대한 보안을 고려