车载网络的入侵检测方法及装置、存储介质、电子装置与流程

本发明涉及安全，具体而言，涉及一种车载网络的入侵检测方法及装置、存储介质、电子装置。

背景技术：

1、相关技术中，随着计算机通信技术的发展，汽车出现了电动化、智能化和网联化趋势，汽车的新型特征在带给人们新的体验的同时，也面临新的安全挑战。黑客通过车载网络入侵汽车的事件频发，引起人们对车载网络入侵检测的重视。例如，攻击者通过远程访问或者物理接触等方式接入can(controller area network，can)总线，监听ecu(electroniccontrol unit，ecu)消息，进而谨慎注入消息以抵消其他ecu消息或者伪装其他ecu消息，从而实现对车辆的监控或者控制，所带来的危害可能是影响正常交通运行，甚至危害驾驶人员和乘客的生命财产安全。因此，对于can总线接入ecu的身份识别和入侵检测功能显得尤为重要。

2、相关技术是对can总线接收到的报文信息进行检测，并在can总线及ecu的报文出现异常时进行告警。目前，现有检测技术只能检测基于can总线的ddos(distributeddenial of service)攻击，而不能检测攻击者伪装ecu等高级攻击。

3、针对相关技术中存在的上述问题，暂未发现高效且准确的解决方案。

技术实现思路

1、本发明提供了一种车载网络的入侵检测方法及装置、存储介质、电子装置，以解决相关技术中的技术问题。

2、根据本发明的一个实施例，提供了一种车载网络的入侵检测方法，包括：获取车载网络的通信线上的报文信息；采用所述报文信息生成待检测的目标电子控制单元ecu的实时行为信息；调用所述车载网络上ecu集合的正常行为画像，其中，所述正常行为画像包括所述车载网络上ecu在正常工作状态时的通信对象集合、控制功能范围、以及正常通信行为模式；根据所述实时行为信息和所述正常行为画像检测所述目标ecu是否被注入攻击。

3、可选地，采用所述报文信息生成待检测的目标ecu的实时行为信息包括：从所述报文信息中解析所述目标ecu的实时数据特征，其中，所述实时数据特征用于表征所述目标ecu的通信对象；将所述实时数据特征确定为ecu的第一实时行为信息。

4、可选地，采用所述报文信息生成待检测的目标ecu的实时行为信息包括：从所述报文信息中解析所述目标ecu的实时操作指令，其中，所述实时操作指令用于表征所述目标ecu的控制功能；将所述实时操作指令确定为ecu的第二实时行为信息。

5、可选地，采用所述报文信息生成待检测的目标ecu的实时行为信息包括：从所述报文信息中解析所述目标ecu的实时通信行为模式，其中，所述实时通信行为模式包括统计特征和行为模式，所述统计特征包括所述目标ecu发送报文数据的时间间隔和报文数量，所述行为模式用于表征报文数据的发送模式；将所述实时通信行为模式确定为ecu的第三实时行为信息。

6、可选地，根据所述实时行为信息和所述正常行为画像检测所述目标ecu是否被注入攻击包括：比对所述实时行为信息和所述ecu集合的正常行为画像，判断比对结果是否满足预设入侵条件；若比对结果满足预设入侵条件，确定所述目标ecu被注入攻击。

7、可选地，判断比对结果是否满足预设入侵条件包括：若比对结果为实时行为信息的实时通信行为模式与所述正常行为画像的正常通信行为模式存在差异，计算所述实时通信行为模式与所述正常通信行为模式之间的差异值；判断所述差异值是否在预设阈值范围内；若所述差异值在预设阈值范围内，确定比对结果满足预设入侵条件。

8、可选地，判断比对结果是否满足预设入侵条件包括：若比对结果为实时行为信息的实时数据特征与所述正常行为画像的通信对象集合存在差异，或若比对结果为实时行为信息的实时操作指令与所述正常行为画像的控制功能范围存在差异，确定比对结果满足预设入侵条件。

9、可选地，判断比对结果是否满足预设入侵条件包括：判断所述ecu集合是否包含所述目标ecu；若所述ecu集合不包含所述目标ecu，确定比对结果满足预设入侵条件。

10、可选地，获取车载网络的通信线上的报文信息包括：获取监测ecu在车载网络的通信线上监听的监测报文，其中，所述监测ecu接入所述车载网络的通信线；向车载网络的通信线上的目标ecu发送探测报文，接收所述目标ecu响应所述探测报文返回的反馈报文；采用所述监测报文和/或反馈报文生成报文信息。

11、根据本发明的另一个实施例，提供了一种车载网络的入侵检测装置，包括：第一获取模块，用于获取车载网络的通信线上的报文信息；生成模块，用于采用所述报文信息生成待检测的目标电子控制单元ecu的实时行为信息；第二获取模块，用于调用所述车载网络上ecu集合的正常行为画像，其中，所述正常行为画像包括所述车载网络上ecu在正常工作状态时的通信对象集合、控制功能范围、以及正常通信行为模式；检测模块，用于根据所述实时行为信息和所述正常行为画像检测所述目标ecu是否被注入攻击。

12、可选地，所述生成模块包括：第一解析单元，用于从所述报文信息中解析所述目标ecu的实时数据特征，其中，所述实时数据特征用于表征所述目标ecu的通信对象；第一确定单元，用于将所述实时数据特征确定为ecu的第一实时行为信息。

13、可选地，所述生成模块包括：第二解析单元，用于从所述报文信息中解析所述目标ecu的实时操作指令，其中，所述实时操作指令用于表征所述目标ecu的控制功能；第二确定单元，用于将所述实时操作指令确定为ecu的第二实时行为信息。

14、可选地，所述生成模块包括：第三解析单元，用于从所述报文信息中解析所述目标ecu的实时通信行为模式，其中，所述实时通信行为模式包括统计特征和行为模式，所述统计特征包括所述目标ecu发送报文数据的时间间隔和报文数量，所述行为模式用于表征报文数据的发送模式；第三确定单元，用于将所述实时通信行为模式确定为ecu的第三实时行为信息。

15、可选地，所述检测模块包括：判断单元，用于比对所述实时行为信息和所述ecu集合的正常行为画像，判断比对结果是否满足预设入侵条件；确定单元，用于若比对结果满足预设入侵条件，确定所述目标ecu被注入攻击。

16、可选地，所述判断单元包括：计算子单元，用于若比对结果为实时行为信息的实时通信行为模式与所述正常行为画像的正常通信行为模式存在差异，计算所述实时通信行为模式与所述正常通信行为模式之间的差异值；第一判断子单元，用于判断所述差异值是否在预设阈值范围内；第一确定子单元，用于若所述差异值在预设阈值范围内，确定比对结果满足预设入侵条件。

17、可选地，所述判断单元包括：第二确定子单元，用于若比对结果为实时行为信息的实时数据特征与所述正常行为画像的通信对象集合存在差异，或若比对结果为实时行为信息的实时操作指令与所述正常行为画像的控制功能范围存在差异，确定比对结果满足预设入侵条件。

18、可选地，所述判断单元包括：第二判断子单元，用于判断所述ecu集合是否包含所述目标ecu；第三确定子单元，用于若所述ecu集合不包含所述目标ecu，确定比对结果满足预设入侵条件。

19、可选地，所述第一获取模块包括：获取单元，用于获取监测ecu在车载网络的通信线上监听的监测报文，其中，所述监测ecu接入所述车载网络的通信线；探测单元，用于向车载网络的通信线上的目标ecu发送探测报文，接收所述目标ecu响应所述探测报文返回的反馈报文；生成单元，用于采用所述监测报文和/或反馈报文生成报文信息。

20、根据本技术实施例的另一方面，还提供了一种存储介质，该存储介质包括存储的程序，程序运行时执行上述的步骤。

21、根据本技术实施例的另一方面，还提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；其中：存储器，用于存放计算机程序；处理器，用于通过运行存储器上所存放的程序来执行上述方法中的步骤。

22、本技术实施例还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述方法中的步骤。

23、本发明的有益效果：

24、1、可以检测车载网络范围内模拟ecu进而影响其他ecu的注入攻击，提高车载网络的安全性；

25、2、可以主动或者被动地实现对ecu的状态监控，进而发现网络入侵，实现对车载网络上报文信息的多方位监听；

26、3、不受车载网络的网络协议的影响，对于具有相似功能的网络协议均适用。