Análisis de supervivencia para la detección y clasificación de anomalías en vehículos

An´ alisis de Supervivencia para la detecci´ on y clasificaci´ on de anomal´ ıas en veh´ ıculos Pablo Men´ endez-Trillo GRADIANT Estrada do Vilar, 56-58, 36214 Vigo [email protected]g Fabi´ an Otero-V´ azquez GRADIANT Estrada do Vilar, 56-58, 36214 Vigo fov[email protected]g Jacobo de U˜ na- ´ Alvarez Universidade de Vigo Grupo SiDOR, 36310 Vigo [email protected] Abstract—Hoy en d´ ıa la digitalizaci´ on est´ a presente en todos los ´ ambitos que nos podamos imaginar, y los veh´ ıculos no son una excepci´ on. Hace menos de 50 a˜ nos la proporci´ on de componentes electr´ onicas frente a mec´ anicas en los veh´ ıculos era inferior al 1%. Hoy esta cifra se ha elevado al 50%, y seguir´ a aumentando con la proliferaci´ on de los veh´ ıculos el´ ectricos y la aparici´ on de los veh´ ıculos aut´ onomos. La comunicaci´ on del veh´ ıculo con el exterior aporta facilidades para el d´ ıa a d´ ıa del conductor (GPS, bluetooth, Wi-Fi...), pero tambi´ en crea vulnerabilidades que pueden ser utilizadas en su contra en forma de ciberataques. En este estudio se describen dichas vulnerabilidades y se propone un novedoso m´ etodo de detecci´ on y clasificaci´ on de anomal´ ıas basado en el An´ alisis de Supervivencia, rama de la estad´ ıstica que estudia modelos en los que la variable respuesta es el tiempo entre dos eventos que marcan el inicio y el final de un suceso. Index Terms—An´ alisis de Supervivencia; detecci´ on de anomal´ ıas; clasificaci´ on de anomal´ ıas; flooding;fuzzy;malfunction;replay;controller area network Tipo de contribuci´ on: Investigaci´ on original I. INTRODUCCI ´ ON Los dispositivos electr´ onicos de los veh´ ıculos est´ an organizados por unidades de control electr´ onico (ECUs). Para su correcto funcionamiento, cada ECU debe estar en constante comunicaci´ on con el resto. El protocolo est´ andar de comunicaci´ on entre ECUs en los veh´ ıculos es el Controller Area Network (CAN), barato, ligero, r´ apido y de sencilla instalaci´ on. Se trata de un protocolo basado en mensajes que conecta en paralelo todas las ECUs a trav´ es de un bus CAN, dando lugar a un sistema multimaestro en el que ninguna ECU controla a las dem´ as. Cada ECU interacciona con el resto recibiendo y enviando mensajes, form´ andose una red interna de comunicaci´ on. A pesar de las ventajas con las que cuenta el protocolo CAN, tambi´ en presenta vulnerabilidades que pueden ser utilizadas por los ciberdelincuentes para introducirse y tomar parte en la red interna del veh´ ıculo. En 2012, investigadores de la Universidad de Corea mostraron varios procedimientos para ello, con los que consiguieron manipular el panel de control y el sistema de alarma introduciendo un malware en una aplicaci´ on de inspecci´ on de veh´ ıculos, [1]. Ese mismo a˜ no se estima que m´ as de 300 BMWs fueron robados en Reino Unido eludiendo el sistema antirrobo mediante smartphones conectados al puerto On- Board Diagnostic (OBD), [2]. En 2015, un equipo del Keen Security Lab en China mostr´ o c´ omo conectar un veh´ ıculo a una red Wi-Fi maliciosa, tomando el control del sistema de cierre y navegaci´ on, [3]. En los ´ ultimos a˜ nos se han desarrollado muchos estudios con el objetivo de detectar ciberataques en veh´ ıculos, basados la mayor´ ıa de ellos en t´ ecnicas de IA y aprendizaje autom´ atico. Sin embargo, su procedimiento a nivel estad´ ıstico no suele ser riguroso y sus modelos quedan a merced de los datos, sin profundizar en la distribuci´ on de las variables de inter´ es. En este estudio propondremos un modelo de detecci´ on y clasificaci´ on de anomal´ ıas en veh´ ıculos que se distinguir´ a de los de la literatura por su rigurosidad estad´ ıstica. Adem´ as, la mayor´ ıa de los modelos de detecci´ on de anomal´ ıas en veh´ ıculos de la literatura est´ an basados en el conteo o c´ alculo del ratio de aparici´ on de los mensajes, variables discretas. Nosotros consideraremos el tiempo entre mensajes, una variable continua. Aunque est´ an muy relacionadas, el tiempo entre mensajes contiene m´ as informaci´ on, adem´ as de permitirnos hacer uso de las t´ ecnicas del An´ alisis de Supervivencia, [4]. Basaremos nuestro estudio en dos bases de datos. Por un lado, Survival Analysis Dataset for Automobile IDS (Survival), [5], utilizada en 2019 Information Security R&D Dataset Challenge en Corea del Sur, que contiene datos sobre la red de mensajes de tres veh´ ıculos sometidos a ataques flooding, fuzzy ymalfunction. Por otro lado, Car Hacking Dataset (Car- Hacking), [6], utilizada en Car Hacking: Attack &Defense Challenge 2020 tambi´ en en Corea del Sur y que recoge datos de un veh´ ıculo adicional sometido a ataques flooding,fuzzy, malfunction yreplay. El resto del art´ ıculo se estructura como sigue: en la Secci´ on II se hablar´ a sobre el background del problema, exponiendo las vulnerabilidades del protocolo CAN y literatura relacionada con la detecci´ on de ataques, introduciendo el An´ alisis de Supervivencia y definiendo las m´ etricas para evaluar un modelo de clasificaci´ on. La metodolog´ ıa seguida para construir los modelos de detecci´ on y clasificaci´ on se expondr´ a en la Secci´ on III. En la Secci´ on IV se mostrar´ an los resultados para ambas bases de datos y en la Secci´ on V se dar´ an las principales conclusiones del estudio. II. BACKGROUND Y LITERATURA RELACIONADA A. Protocolo CAN y sus vulnerabilidades Como ya hemos aniticipado, la comunicaci´ on entre los ECUs de un veh´ ıculo se hace en forma de mensajes. Cada mensaje est´ a estructurado como se muestra en la Fig. 1, y sus campos se describen a continuaci´ on: •Start of frame (SOF): indica el comienzo del mensaje. •Arbitration field (CAN-ID): identificador del mensaje, indica su prioridad dentro de la red. Cuando dos mensajes intentan transmitirse simult´ aneamente, tendr´ a prioridad el mensaje con menor ID. Cada ECU tiene asignados varios IDs, pero cada ID solo puede ser utilizado por una ECU. JNIC 2024 ISBN:978-84-09-62140-8 230 Fig. 1. Estructura de los mensajes del protocolo CAN, [7]. •Control field (DLC): indica la longitud del data field. •Data field: contiene la informaci´ on del mensaje, es decir, la informaci´ on que la ECU emisora quiere transmitir a la ECU receptora. •Cyclic redundancy code field (CRC): tambi´ en conocido como campo de seguridad, comprueba la validez del mensaje. •Acknowledge field (ACK): comprueba que el mensaje llega a la ECU receptora. •End of frame (EOF): indica el final del mensaje. Las ventajas del protocolo CAN tambi´ en dan lugar a vulnerabilidades. Por un lado, el bus CAN es un dominio de difusi´ on, por lo que todas las ECUs tienen acceso a todos los mensajes de la red. Adem´ as, la velocidad a la que son enviados y recibidos los mensajes no permite su encriptaci´ on, por lo que una ECU maliciosa conectada al sistema puede tener acceso a la red de mensajes. Por otro lado, el bus CAN no cuenta con un sistema de autenticaci´ on de mensajes, por lo que nada impide a una ECU transmitir mensajes con IDs que no le pertenezcan. Esto puede ser utilizado por una ECU maliciosa para suplantar la identidad de las ECUs leg´ ıtimas y enviar mensajes que enga˜ nen o colapsen el sistema. Estas vulnerabilidades han dado lugar a la aparici´ on de diferentes ataques sobre la red interna de los veh´ ıculos. Todos ellos consisten en la conexi´ on al sistema de una ECU maliciosa que toma ciertas acciones: Sniffing attack: intercepci´ on de la red de mensajes del veh´ ıculo. Flooding attack (DDoS): inyecci´ on de mensajes de m´ axima prioridad que colapsan la red, impidiendo la correcta transmisi´ on del resto de mensajes. Fuzzy attack: inyecci´ on de mensajes con IDs, DLC y data fields aleatorios, pertenecientes y no pertenecientes a la red interna del veh´ ıculo, que se transmiten como si de mensajes leg´ ıtimos se trataran. Para generar estos mensajes los atacantes pueden basarse en la informaci´ on obtenida a partir de un ataque sniffing, o pueden hacerlo sin informaci´ on previa de la red interna. Malfunction attack: inyecci´ on de mensajes con un ID concreto perteneciente a la red interna, con el data field modificado para contaminar el sistema. Replay attack: inyecci´ on de mensajes reales extra´ ıdos previamente de la red de mensajes a trav´ es de un ataque sniffing. Recientemente se han llevado a cabo diferentes estudios con objetivo la detecci´ on de estos ataques. Se han desarrollado modelos basados en la ordenaci´ on o frecuencia de los mensajes seg´ un su ID: en [8] utilizaron redes neuronales convolutivas, en [9] modelos Long Short-Term Memory (LSTMs), en [10] modelos secuenciales... En ellos se ha observado en mayor o menor medida que la secuencia de IDs en los mensajes es una variable ´ util para detectar ataques flooding, fuzzy,malfunction yreplay. Tambi´ en se han desarrollado modelos basados en la comparaci´ on del data field de los mensajes. Bas´ andose en este enfoque se han aplicado varios modelos de redes neuronales: en [11] modelos LSTM, en [12] autoencoders y en [13] Recurrent Gated Units (GRUs). Algunos de estos modelos han conseguido detectar con precisi´ on varios ataques, aunque en general presentan m´ as desventajas que los modelos de detecci´ on basados en los IDs, como por ejemplo un mayor tiempo de respuesta. Adem´ as de modelos de aprendizaje autom´ atico, tambi´ en se han desarrollado otros modelos con un enfoque m´ as cercano a la estad´ ıstica cl´ asica. Por ejemplo, en [14] se present´ o un modelo que compara el ratio de aparici´ on de cada ID entre una base libre y en las bases atacadas, detectando ataques cuando estos ratios se salen de ciertos l´ ımites. En [7] se hizo un estudio similar, comparando tambi´ en la desviaci´ on t´ ıpica de los ratios de aparici´ on. En ambos casos se obtuvieron buenas precisiones en la detecci´ on de ataques flooding,fuzzy ymalfunction. No obstante, estos trabajos profundizan poco en los desarrollos estad´ ısticos formales que son necesarios para una correcta comprensi´ on del problema y estudio de soluciones ´ optimas; ´ este es el gap que queremos cubrir con el presente trabajo. B. An´ alisis de Supervivencia El An´ alisis de Supervivencia estudia modelos y m´ etodos en los que la variable respuesta representa el tiempo hasta un evento perfectamente especificado. Tiene aplicaciones en multitud de ramas: en biolog´ ıa y medicina la respuesta suele representar el tiempo desde el nacimiento de un individuo hasta su muerte, el tiempo desde la entrada de un enfermo en un tratamiento hasta su recuperaci´ on, o el tiempo desde el diagn´ ostico de una enfermedad hasta muerte. Tambi´ en es frecuentemente utilizado en ingenier´ ıa, donde tambi´ en es conocido como An´ alisis de Fiabilidad y suele medir el tiempo de duraci´ on de las m´ aquinas desde su instalaci´ on, o en econom´ ıa, donde suele medir el tiempo en paro o la duraci´ on de empleo. Es usual en An´ alisis de Supervivencia encontrarnos con datos censurados por la derecha, para los cuales no se observa el evento final debido a un evento previo que lo impide. Esto puede darse, por ejemplo, si un estudio termina antes del fallecimiento o dada de alta de alg´ un individuo. Estos datos censurados contienen informaci´ on, no completa pero valiosa, y se han desarrollado t´ ecnicas estad´ ısticas para sacar el m´ aximo partido de dicha informaci´ on. La funci´ on principal del An´ alisis de Supervivencia que caracteriza la variable temporal es la funci´ on de supervivencia, que representa la probabilidad de sobrevivir al tiempo t. Conocer esta funci´ on es equivalente a conocer la funci´ on de distribuci´ on Fo la funci´ on de densidad f. Si Ydenota la variable tiempo de fallo, la funci´ on de supervivencia Sse define como: S(t) = P(Y > t), t ≥0. 2 An´alisis de Supervivencia para la detecci´on y clasificaci´on de anomal´ıas en veh´ıculos 231 El objetivo del An´ alisis de Supervivencia es estimar, comparar y modelizar curvas de supervivencia. Otra funci´ on importante es la funci´ on de riesgo λ, que se define como la probabilidad de que un individuo, habiendo sobrevivido a tiempo t, experimente el fallo en el futuro inmediato [t, t + ∆t). La funci´ on de riesgo satisface: λ(t) = f(t) S(t). Conocer λes equivalente a conocer fo a conocer S, todas ellas caracterizan la distribuci´ on. A lo largo de este trabajo nos interesar´ a comparar si dos muestras independientes proceden de la misma distribuci´ on. Las pruebas m´ as utilizadas son la prueba tde Student bajo la suposici´ on de normalidad e igualdad de varianzas, la prueba de Welch bajo desigualdad de varianzas y el test de Mann-Whitney-Wilcoxon si no se cumple la suposici´ on de normalidad. En An´ alisis de Supervivencia las pruebas m´ as conocidas son las pertenecientes a la familia log-rank, que aceptan la presencia de datos censurados. Los estad´ ısticos de esta familia de pruebas se construyen en base a la estimaci´ on de la funci´ on de riesgo λen cada una de las dos muestras k= 1,2y en la muestra conjunta, y tienen la forma: Uk= D X i=1 w(ti)(oik −eik), es decir, miden la diferencia entre los eventos observados y esperados en cada tiempo tiponderada por una funci´ on peso w(ti). La funci´ on peso determina a qu´ e partes de la distribuci´ on se le quiere dar m´ as importancia. Tomando w(ti)=1resulta el test log-rank usual, de m´ axima potencia bajo el supuesto de funciones de riesgo proporcionales λ2(t) = θλ1(t). Tomando w(ti) = ni(n´ umero de individuos a riesgo en ti) resulta el test de Gehan, una generalizaci´ on del test de Mann-Whitney-Wilcoxon para muestras censuradas que es el test de m´ axima potencia bajo el supuesto de diferencias en localizaci´ on. C. Evaluaci´ on de un m´ etodo de clasificaci´ on Nuestro modelo ser´ a un m´ etodo de clasificaci´ on que agrupar´ a conjuntos de datos en dos clases: alerta yno alerta. Para evaluar un m´ etodo de clasificaci´ on es necesario conocer las etiquetas reales de los datos. En nuestro caso, cada conjunto de datos sometido a la predicci´ on de su clase es etiquetado previamente como ataque ono ataque. Estas etiquetas se asignan a ciencia cierta de acuerdo con lo establecido durante la recogida de los datos. Una vez aplicado el m´ etodo de clasificaci´ on, a partir de las observaciones y predicciones se obtiene la matriz de confusi´ on de la Tabla I, donde TN, FP, FN y TP denotan, respectivamente, el n´ umero de verdaderos negativos, falsos positivos, falsos negativos y verdaderos positivos. A partir de esta matriz de confusi´ on, existen diferentes m´ etricas que miden la precisi´ on del m´ etodo. En este art´ ıculo Tabla I MATRIZ DE CONFUSI ´ ON. Observado\Predicci´ on No alerta Alerta No ataque TN FP Ataque FN TP utilizaremos la sensibilidad (true positive rate, TPR), que mide la proporci´ on de ataques detectados con respecto a los ataques observados, la especificidad (true negative rate, TNR), que mide la proporci´ on de no ataques predichos con respecto a los no ataques observados, y el F-score, una medida de la tasa global de aciertos que es m´ as representativa que la precisi´ on usual cuando las clases est´ an desbalanceadas y que da m´ as importancia a la detecci´ on correcta de la clase positiva: TPR =TP TP+FN,TNR =TN TN+FP,F=2TP 2TP+FP+FN. III. METODOLOG´ IA:DETECCI´ ON Y CLASIFICACI ´ ON A. Modelo de detecci´ on Como ya hemos comentado, en este estudio consideraremos dos bases de datos. Por un lado, la base Survival [5] re´ une la comunicaci´ on entre los dispositivos de tres veh´ ıculos: KIA Soul, HYUNDAI Sonata y CHEVROLET Spark, para cada uno de los cuales contamos con cuatro conjuntos de datos: un conjunto de datos libre de ataques y tres conjuntos de datos recogidos bajo la inyecci´ on, respectivamente, de ataques flooding,fuzzy ymalfunction. Por otro lado la base Car- Hacking [6] cuenta con una base libre y dos bases atacadas, cada una con ataques flooding,fuzzy,malfunction yreplay, recogidas para un veh´ ıculo HYUNDAI Avante CN7. Para m´ as informaci´ on sobre las bases de datos acudir al Anexo A. Los cuatro ataques considerados se basan en la inyecci´ on de mensajes malignos entre los mensajes libres, por lo que es de esperar que el tiempo entre mensajes cambie entre una conducci´ on libre y una conducci´ on atacada. Esto lo comprobamos en la Fig. 2, donde para cada ataque del KIA Soul se representa la media del tiempo entre mensajes en paquetes de tama˜ no 4000 a lo largo del tiempo. Ocurriendo lo mismo para el resto de veh´ ıculos, esto nos anima a basar nuestros modelos de detecci´ on de anomal´ ıas en la comparaci´ on del tiempo entre mensajes entre las bases libres y las bases atacadas. As´ ı, definimos las variables aleatorias: Yx=tiempo entre xmensajes en la base libre, Zx=tiempo entre xmensajes en la base atacada. Para garantizar que los elementos de las muestras no contienen informaci´ on repetida, los tiempos se calculan entre posiciones disjuntas. Por ejemplo, si x= 5:Y5 1=t6−t1, Y5 2=t11 −t6, ... Nuestros modelos se basar´ a en la realizaci´ on de un contraste de comparaci´ on de distribuciones entre las variables YxyZx, dando se˜ nal de alerta si el test rechaza la igualdad de distribuciones. Para un veh´ ıculo y ataque dados, el algoritmo de detecci´ on es el que se muestra en la Tabla II. Sus par´ ametros, mostrados en la Tabla III, merecen algunos comentarios. La longitud de los paquetes Lha de ser suficientemente grande para que las muestras de tiempos entre mensajes tengan un tama˜ no aceptable para estimar con precisi´ on su funci´ on de densidad. El salto entre paquetes jes equivalente al tiempo (ideal) de reacci´ on entre el inicio del ataque y la posible detecci´ on del mismo (por ejemplo si L= 5000 yj= 1000, los paquetes ser´ ıan {1,...,5000},{1001,...,6000}, . . .). Lo l´ ogico ser´ ıa fijar j= 1, para lo cual en una situaci´ on de m´ axima precisi´ on la detecci´ on ser´ ıa instant´ anea. No obstante, esto implicar´ ıa realizar tantos contrastes de hip´ otesis como mensajes en las bases de datos, lo que conlleva un tiempo de ejecuci´ on 3 P. Men´endez-Trillo, F. Otero-V´azquez and J. de U˜na-´ Alvarez 232 Fig. 2. Tiempo medio entre mensajes en paquetes de 4000 mensajes para el KIA Soul. En verde mensajes libres y en rojo mensajes inyectados. inaccesible para realizar un estudio exhaustivo del problema (el tiempo de ejecuci´ on ronda los 0.003-0.004 segundos por cada contraste de hip´ otesis). El n´ umero de paquetes Nviene determinado por L,jy el n´ umero de mensajes en la base atacada, M: N=jM−L jk. Con respecto al par´ ametro p, en una situaci´ on ideal de m´ axima precisi´ on, un paquete con tan solo un mensaje maligno ser´ ıa clasificado como alerta. Esto es demasiado ambicioso en la realidad, ya que son necesarios decenas de mensajes malignos para que la distribuci´ on de tiempos cambie con respecto a la distribuci´ on base. Por ejemplo, fijando p= 0.06 estar´ ıamos renunciando a identificar ataques sutiles con una contaminaci´ on inferior al 6%. Debemos tener cuidado con no aumentar demasiado este valor, lo que producir´ ıa una disminuci´ on en la especificidad y no necesariamente un aumento de la sensibilidad. Como test de hip´ otesis utilizaremos el test logrank y el test de Gehan. La teor´ ıa de la probabilidad nos dice que, bajo H0, los p-valores se distribuyen como una U(0,1). As´ ı, fijado αse espera una tasa de error del tipo I del 100α%, o lo que es lo mismo, una especificidad de 1−α. Por otro lado, cuanto mayor sea αm´ as f´ acil se rechazar´ aH0y mayor ser´ a la sensibilidad. As´ ı, el par´ ametro αmide la tensi´ on entre ambas m´ etricas. Finalmente, ser´ ıa de esperar que la elecci´ on de xno influyera significativamente en los resultados. Sin embargo, como veremos en la siguiente secci´ on, este par´ ametro juega un papel importante en la detecci´ on de ataques. B. Modelo de clasificaci´ on Una vez detectado un ataque resulta altamente interesante estudiar si sus caracter´ ısticas coinciden con alguno de los ataques conocidos y, en ese caso, clasificarlo. As´ ı, en este apartado propondremos un algoritmo de clasificaci´ on en el que entrar´ an los paquetes alertados del algoritmo de detecci´ on. Haremos uso de un atributo de los mensajes que no hemos considerado hasta ahora: su ID. Cada veh´ ıculo tiene una red de IDs particular conocida por el distribuidor que denotaremos por I. Para cada i∈Idefinimos las variables aleatorias: Yx i=tiempo entre xmensajes con ID = ien la base libre, Zx i=tiempo entre xmensajes con ID = ien la base atacada. Tabla II ALGORITMO DE DETECCI´ ON DE ANOMAL´ IAS. Algoritmo de detecci´ on 1. Para la muestra de ataque, se crean Npaquetes de tama˜ no Lcon saltos de tama˜ no j. 2. Los paquetes que cuenten con al menos un porcentaje pde mensajes malignos son etiquetados como ataque. Los que no, son etiquetados como no ataque. 3. Se fija el par´ ametro x. 4. Se calculan los valores que toma la variable Yxen la base libre. 5. Se calculan los valores que toman las variables Zx npara cada uno de los paquetes n∈ {1,...,N}. 6. Se realiza un test de comparaci´ on a nivel de significaci´ on αentre las distribuciones de YxyZx npara cada n∈ {1,...,N} ßH0:Yx=dZx n H1:Yx=dZx n,n∈ {1,...,N}. Los paquetes para los que H0se rechaza son clasificados como alerta. Los que no, son clasificados como no alerta. 7. Se obtiene la matriz de confusi´ on entre alertas y ataques y, a partir de ella, se calculan las medidas de precisi´ on de inter´ es: sensibilidad, especificidad y F-score. Tabla III PAR ´ AMETROS DEL ALGORITMO DE DETECCI ´ ON DE ANOMAL´ IAS. Par´ ametro Funci´ on xN´ umero de mensajes entre los que se calcula el tiempo. LN´ umero de mensajes que componen cada paquete. jSalto entre paquetes. NN´ umero de paquetes. pPorcentaje de mensajes malignos en un paquete a partir del cual es considerado como ataque. test y αContraste de hip´ otesis utilizado y su nivel de significaci´ on. El algoritmo de clasificaci´ on se muestra en la Tabla IV. Este algoritmo clasifica los ataques en funci´ on del resultado de los test de comparaci´ on de distribuciones que se realizan sobre las variables Yy iyZy i, donde yes un par´ ametro con la misma funci´ on que x, pero que ha de tomar valores m´ as peque˜ nos para que las muestras tengan tama˜ nos aceptables. El nivel de significaci´ on γha de fijarse peque˜ no, de manera que cuando el test rechace H0haya cierta seguridad sobre ello. En el ataque flooding, la inyecci´ on de mensajes de m´ axima prioridad impide la comunicaci´ on correcta del resto de mensajes y provoca un cambio en la distribuci´ on de sus IDs. Es f´ acilmente identificable estudiando los IDs de m´ axima prioridad: 1) se detecta alg´ un ID de m´ axima prioridad no perteneciente a la red vehicular, o 2) se rechaza H0para alg´ un ID de m´ axima prioridad perteneciente a la red vehicular. Durante el ataque fuzzy se inyectan mensajes con IDs aleatorios, tanto de la red vehicular como mensajes externos. Aunque el tiempo entre mensajes cambia, el impacto sobre el tiempo entre mensajes de cada ID de la red vehicular es muy peque˜ no, haciendo que no se rechacen rotundamente los contrastes de hip´ otesis. As´ ı, el ataque fuzzy se identifica si: 1) se detecta alg´ un ID no perteneciente a la red vehicular y que no es de m´ axima prioridad, o 2) no se rechaza H0para ninguno de los IDs de la red vehicular que no son de m´ axima prioridad. El ataque malfunction se centra en un ID en particular de la red vehicular, por lo que la distribuci´ on de tiempos entre mensajes 4 An´alisis de Supervivencia para la detecci´on y clasificaci´on de anomal´ıas en veh´ıculos 233 Tabla IV ALGORITMO DE CLASIFICACI´ ON. Algoritmo de clasificaci´ on 1. Se listan los IDs Ipertenecientes a la red del veh´ ıculo. Se listan los IDs de m´ axima prioridad J(no necesariamente J⊂I). Se listan los IDs hallados en el paquete K. 2. Se fija el par´ ametro y. 3. Para cada i∈Ise calculan los valores que toma la variable Yy i en la base libre. 4. Para cada i∈Ise calculan los valores que toma la variable Zy ien el paquete alertado. 5. Para cada i∈Ise realiza un test de comparaci´ on a nivel de significaci´ on γentre las distribuciones de Yy iyZy i ßH0:Yy i=dZy i H1:Yy i=dZy i,n∈ {1,...,N}. El ataque es clasificado como flooding si: 1) Es hallado alg´ un i∈Kei∈Jpero i /∈I. 2) Se rechaza H0para alg´ un i∈Jei∈I. En otro caso, el ataque es clasificado como fuzzy si: 1) Es hallado alg´ un i∈(K\J)ei /∈I, 2) No se rechaza H0para ning´ un i∈(I\J), como malfunction si se rechaza H0para no menos i∈(I\J), y replay si se rechaza H0para m´ as de n i ∈(I\J). En otro caso, el paquete es clasificado como anomal´ ıa desconocida. de dicho ID se ve fuertemente modificada. Sin embargo, no tiene el impacto del ataque flooding sobre el resto de IDs, por lo que sus distribuciones rara vez se ven afectadas. Es por eso por lo que clasificamos un ataque como malfunction cuando el n´ umero de test con rechazo de H0es no menor. Por su parte, el ataque replay suele ser m´ as intenso que el ataque malfunction, y puede fijarse simult´ aneamente en m´ as de un ID, rechazando la hip´ otesis nula en m´ as ocasiones. IV. RESULTADOS Comenzando por el modelo de detecci´ on, nuestro objetivo final es hallar la combinaci´ on de par´ ametros que maximice las precisiones, es decir, los F-scores. En un estudio preliminar sobre la base Survival hemos observado que las precisiones tienen una fuerte dependencia con el par´ ametro x. Esto se expone a continuaci´ on. A. Estudio preliminar del modelo de detecci´ on: par´ ametro x Para hacer este estudio preliminar del efecto del par´ ametro xfijaremos el resto de par´ ametros con valores, a nuestro juicio, l´ ogicos: L= 5000, j = 1000, p = 0.06, α = 0.05, (el par´ ametro j= 1000 nos permite un tiempo de reacci´ on de en torno a 0.5 s) y haremos variar x∈ {1,...,200}. En las Fig. 3 y 4 se muestra la sensibilidad y especificidad en funci´ on de xpara los tres ataques del Soul. Los resultados se comentan a continuaci´ on: •Para valores peque˜ nos de xse obtienen tanto malas sensibilidades como malas especificidades. Esto nos dice que el tiempo entre mensajes individuales no es una variable que detecte correctamente anomal´ ıas debidas a la inyecci´ on de mensajes. •Salvo para el ataque fuzzy, el test log-rank presenta inestabilidad en las sensibilidades y, sobre todo, en la especificidades. Se observan patrones para los ataques Fig. 3. Sensibilidad en fuci´ on de xpara los tres ataques del KIA Soul. Fig. 4. Especificidad en funci´ on de xpara los tres ataques del KIA Soul. flooding ymalfunction, lo que nos indica que la inestabilidad es originada por la base libre. Por otro lado, el test de Gehan presenta muy buenas sensibilidades, y buenas especificidades a partir de x= 40. Existe inestabilidad, aunque mucho menor que para el test log-rank. En cualquier caso, habiendo fijado α= 0.05 esperar´ ıamos especificidades de 0.95 (o ligeramente inferiores por haber fijado p= 0.06). Sin embargo, esto no ocurre en casi ninguna ocasi´ on. Las posibles razones se comentan m´ as abajo. •Aunque no se incluyen las gr´ aficas, para el Sonata y el Spark se obtienen resultados muy similares. Para cuantificar estos resultados, en la Tabla V se muestran las medias y desviaciones t´ ıpicas de los F-scores obtenidos para cada veh´ ıculo, cada ataque y cada test, en el rango x∈ {40,...,200}. Vemos como las desviaciones t´ ıpicas son considerablemente mayores para el test log-rank. Los resultados para el test de Gehan son muy buenos, tanto en media como en desviaci´ on t´ ıpica. Podr´ ıa mejorarse el resultado del ataque malfunction del Soul. A pesar de ser el ataque con menor impacto sobre los tiempos entre mensajes (Fig. 2), vemos c´ omo la sensibilidad es muy alta y la disminuci´ on del F-score es debida a la especificidad, que nunca llega a ser completamente 5 P. Men´endez-Trillo, F. Otero-V´azquez and J. de U˜na-´ Alvarez 234 Tabla V MEDIAS Y DESVIACIONES T´ IPICAS DE LOS F-SCORES. Flooding Fuzzy Malfunction µ σ µ σ µ σ Soul lr 0.89 0.09 0.99 0.01 0.75 0.15 Ge 0.99 0.01 0.994 0.003 0.95 0.01 Sonata lr 0.95 0.03 0.93 0.04 0.94 0.03 Ge 0.99 0.01 0.99 0.02 0.98 0.01 Spark lr 0.89 0.08 0.99 0.02 0.93 0.08 Ge 0.99 0.01 0.99 0.02 0.98 0.01 buena. Es decir, con esta combinaci´ on de par´ ametros, para dicha base de datos se da un n´ umero considerable de falsas alertas para todos los xconsiderados. ¿Por qu´ e el test log-rank presenta tanta inestabilidad en la especificidad con el par´ ametro x? ¿Por qu´ e las especificidades no se corresponden con el nivel de significaci´ on? Hallamos las respuestas en la Fig. 5, donde se muestran las densidades de las variables YxyZxpara x∈ {10,...,200}en el Soul. Las variables Zxson calculadas a partir de los primeros 60 000 mensajes de la base flooding, en los que no hay ninguna inyecci´ on maligna. Dado un x, cuando m´ as alta sea la densidad de sus tiempos entre mensajes menor ser´ a su varianza. Vemos como dependiendo del xla densidad alcanza mayor o menor altura, habiendo picos y valles que se repiten peri´ odicamente. De esto deducimos que los mensajes no son generados de forma individual e independiente, sino que forman parte de lotes de cierto n´ umero de mensajes que se generan de forma peri´ odica. Dado que las Zxson calculadas sobre una conducci´ on libre, esperar´ ıamos que se distribuyeran de igual forma a las Yx. Sin embargo, vemos c´ omo existen xpara los cuales las densidades de Yx presentan picos y las de Zxpresentan valles. Para dichos valores de xel test log-rank halla diferencias entre ambas distribuciones y H0es frecuentemente rechazada. Esto ocurre por ejemplo para x= 50, para el cual en la Fig. 4 vemos como se obtiene una mala especificidad. Para otros x, como x= 105, ambas densidades presentan picos, no rechaz´ andose generalmente H0y obteniendo muy buena especificidad. Sin embargo, aunque la forma de la distribuci´ on cambie, la media permanece invariante para todo el rango de x, por lo que el test de Gehan no halla diferencias significativas. Es por esto que la especificidad presenta una fuerte dependencia con x para el test log-rank y no para el test de Gehan. De todo esto concluimos tres cosas. Por un lado, el proceso de generaci´ on de mensajes leg´ ıtimos por lotes hace que los tiempos entre mensajes presenten una fuerte correlaci´ on y no se cumpla la hip´ otesis de independencia requerida en los contrastes log-rank y Gehan. Esto podr´ ıa explicar que las especificidades obtenidas no se correspondan con el nivel de significaci´ on fijado. Por otro lado, dicho proceso de generaci´ on de mensajes evoluciona en el tiempo, dando lugar a una alta variabilidad de los resultados para el test logrank. Sin embargo, la media de los tiempos entre mensajes es una variable que caracteriza correctamente una conducci´ on libre de ataques. De hecho, bajo H0los tiempos medios son pr´ acticamente id´ enticos, otra posible raz´ on por la que las especificidades del test de Gehan sean tan altas (por encima de 1−α= 0.95). Este diferente comportamiento de los tests log- Fig. 5. Para el KIA Soul y para x∈ {10,...,200}, arriba: densidades de las variables Yxcalculadas a partir de la base libre y, abajo: densidades de las variables Zxcalculadas a partir de los primeros 60 000 mensajes de la base flooding. rank y Gehan merece, en cualquier caso, un mayor estudio en el futuro, teniendo tambi´ en presente que, en otras situaciones pr´ acticas, el patr´ on de ataques podr´ ıa diferir del existente en los datos analizados. Adem´ as, en situaciones en las que las funciones de riesgo de los tiempos entre mensajes libres de ataque y contaminados se crucen, los citados tests podr´ ıan tener baja potencia estad´ ıstica, requiri´ endose tests alternativos. B. Optimizaci´ on de par´ ametros Habiendo visto y comprendido los resultados, resulta l´ ogico elegir el test de Gehan para la optimizaci´ on de los par´ ametros del modelo. Para la base Survival optimizaremos con respecto al F-score tanto para cada veh´ ıculo por separado como para los tres veh´ ıculos en conjunto, obteniendo una combinaci´ on de par´ ametros que, idealmente, aportar´ a buenas precisiones para los tres ataques de los tres veh´ ıculos. Finalmente, aplicaremos esta combinaci´ on de par´ ametros sobre la base Car-Hacking, comprobando as´ ı la capacidad predictiva del algoritmo sobre un conjunto de datos diferente al del ajuste. Nuestro modelo tiene demasiados par´ ametros, por lo que tomaremos ciertas consideraciones sobre ellos y ´ unicamente optimizaremos con respecto a x, el par´ ametro de mayor influencia en los resultados, y α, el par´ ametro que mide la tensi´ on entre la sensibilidad y la especificidad. Los par´ ametros Lyxdeterminan el tama˜ no de las muestras de las variables Zx nde la forma: m=⌊L/x⌋. Para realizar la optimizaci´ on fijaremos m= 50 yLquedar´ a determinado por xde la forma: L= 50 ·x. El par´ ametro jdetermina el n´ umero de contrastes de hip´ otesis en la ejecuci´ on del programa, por lo que influye directamente en el tiempo de ejecuci´ on. El test de Gehan nos permite fijar j= 50 con tiempos de ejecuci´ on razonables. Para j= 50 el tiempo de reacci´ on es de aproximadamente 0.025 s. Con respecto a p, hasta ahora hemos fijado p= 0.06, con lo cual los paquetes con un porcentaje de mensajes malignos inferior al 6%no eran considerados como atacados. Haciendo esto no estamos 6 An´alisis de Supervivencia para la detecci´on y clasificaci´on de anomal´ıas en veh´ıculos 235 Tabla VI OPTIMIZACI ´ ON INDIVIDUAL DE PAR ´ AMETROS. (xopt, αopt)Sens. Esp. F-score Train F Soul (51, 0.33) Flooding 0.989 0.992 0.993 0.996 Fuzzy 0.992 0.987 0.992 0.993 Malfunction 0.992 0.999 0.992 0.992 Media 0.991 0.993 0.992 0.994 Sonata (49, 0.49) Flooding 0.990 1 0.995 0.992 Fuzzy 0.988 1 0.994 0.987 Malfunction 0.985 1 0.992 0.991 Media 0.988 1 0.994 0.990 Spark (80, 0.44) Flooding 0.993 0.724 0.941 0.993 Fuzzy 1 0.992 0.993 0.991 Malfunction 1 0.917 0.981 0.988 Media 0.998 0.878 0.972 0.991 siendo fieles a la realidad, ya que puede haber ataques que causen problemas con un porcentaje menor de intrusiones. As´ ı, fijaremos p= 0 de manera que un paquete con tan solo un mensaje maligno sea considerado como ataque. Esto, puede dar lugar a un incremento en el n´ umero de falsos negativos, ya que paquetes con pocos mensajes malignos son dif´ ıcilmente detectables. Habiendo fijado L,jyp, haremos variar x∈ {40,...,200}yα∈[0,1]. Para cada veh´ ıculo y cada ataque tomamos como muestra de entrenamiento el 65% inicial de los mensajes y como muestra de test el 35% restante (nos hemos cerciorado de que en todos los casos ambas muestras contienen tanto partes libres como partes atacadas). Comenzamos optimizando para cada veh´ ıculo por separado: para cada veh´ ıculo hallamos la combinaci´ on (x, α)que maximiza la media de los F-scores de los tres ataques. En la Tabla VI se muestran los valores ´ optimos de xyαy las sensibilidades, especificidades y F-scores obtenidos en cada caso para la muestra de test, adem´ as de los F-scores de las muestras de entrenamiento. A pesar de haber fijado p= 0 vemos c´ omo las sensibilidades obtenidas son muy buenas. Esto se debe a los altos niveles de significaci´ on seleccionados, que detectan diferencias muy f´ acilmente. Esto es un arma de doble filo, ya que puede dar lugar a un aumento en el n´ umero de falsos positivos. Por ejemplo, para el ataque flooding del Spark, a pesar de obtener muy buena precisi´ on en la muestra de entrenamiento, la especificidad es realmente mala en la muestra de test. Por otro lado, destacan los resultados del Sonata, para el cual no se dan falsas alarmas, y los ataques fuzzy ymalfunction del Spark, para el cual todos los paquetes atacados son alertados. Las especificidades obtenidas de nuevo no se corresponden con los niveles de significaci´ on fijados, siendo mucho mejores de lo esperado. Como ya hemos comentado, esto puede tener dos razones. Por un lado, que los tiempos medios comparados sean casi id´ enticos y el test de Gehan devuelva p-valores muy altos. Por otro lado, que no se cumpla la hip´ otesis de independencia entre los tiempos entre mensajes y el test de Gehan no sea totalmente v´ alido. Optimizando para los tres veh´ ıculos en conjunto obtenemos (xopt, αopt) = (50,0.27) y las sensibilidades, especificidades y F-scores para la muestra de test que se recogen en la Tabla VII. Como es l´ ogico, los resultados del F-score empeoran con respecto a las optimizaciones individuales. Para los ataques flooding del Soul y del Spark se dan un n´ umero considerable de falsas alertas. Las sensibilidades del Soul son Tabla VII OPTIMIZACI ´ ON GLOBAL DE PAR ´ AMETROS. (50, 0.27) Sens. Esp. F-score Train F Soul Flooding 0.994 0.841 0.966 0.994 Fuzzy 0.991 1 0.995 0.993 Malfunction 0.994 0.961 0.970 0.988 Media 0.993 0.934 0.977 0.992 Sonata Flooding 0.980 1 0.990 0.987 Fuzzy 0.978 1 0.989 0.979 Malfunction 0.973 1 0.986 0.983 Media 0.977 1 0.988 0.983 Spark Flooding 0.961 0.801 0.928 0.987 Fuzzy 1 0.996 0.997 0.991 Malfunction 0.985 1 0.992 0.980 Media 0.982 0.932 0.972 0.986 Media total 0.955 0.979 0.979 0.987 Fig. 6. F-score en funci´ on del ratio de ataque para las muestras de test de los tres ataques de los tres veh´ ıculos. muy buenas. Se obtiene un F-score promedio de 0.978, buen resultado teniendo en cuenta la generalidad del modelo. Para estudiar la capacidad de detecci´ on, en la Fig. 6 se muestran, para esta combinaci´ on de par´ ametros, los F-scores en funci´ on del ratio de ataque de los paquetes, es decir, de la proporci´ on de mensajes malignos. Vemos como basta un ratio de ataque del 6% o incluso inferior para que todos los ataques sean detectados. Dependiendo del efecto que puedan producir los ataques sobre el veh´ ıculo puede interesarnos disminuir α para reducir las falsas alertas a cambio de no ser capaces de detectar los ataques con un ratio de ataque peque˜ no, o aumentar αpara detectar cualquier intrusi´ on por peque˜ na que sea a cambio de dar falsas alertas. Un equilibrio entre estos dos aspectos lo da el F-score, que es lo que nosotros hemos maximizado. Aplicamos ahora la combinaci´ on de par´ ametros ´ optima global obtenida (x= 50,α= 0.27,L= 2500,j= 50 y p= 0) sobre la primera de las bases atacadas de la base Car-Hacking, obteniendo: Sens. = 0.845,Esp. = 0.988,F-score = 0.906 . La especificidad es alta, pero la detecci´ on de los ataques no es buena, dando lugar a una baja sensibilidad y por ende a un bajo F-score. Visto que (x, α) = (50,0.27) no aporta buenas precisiones, optimizamos con respecto a estos par´ ametros. Para ello utilizamos la segunda base atacada como muestra de 7 P. Men´endez-Trillo, F. Otero-V´azquez and J. de U˜na-´ Alvarez 236 entrenamiento, y la primera como muestra de test, obteniendo la combinaci´ on (xopt, αopt) = (70,0.45) y las m´ etricas: Sens. = 0.981,Esp. = 0.993,F-score = 0.987 . Vemos c´ omo las precisiones est´ an a la altura de las obtenidas para los tres veh´ ıculos anteriores. De los resultados para las bases Survival y Car-Hacking sacamos dos conclusiones principales. Nuestro modelo es capaz de detectar con alta precisi´ on intrusiones en las redes vehiculares, quedando probado para cuatro veh´ ıculos distintos. Sin embargo, no es viable disponer de una combinaci´ on de par´ ametros global que se aplique con precisi´ on sobre todos los veh´ ıculos, siendo necesaria una combinaci´ on de par´ ametros propia para cada uno de ellos. C. Resultados de clasificaci´ on Recordemos que en el algoritmo de clasificaci´ on contamos con tres par´ ametros adicionales: y, que marca el n´ umero de mensajes con cada ID entre los que se calcula el tiempo, γ, el nivel de significaci´ on de los test de hip´ otesis para cada ID y n, que indica el n´ umero de test rechazados que diferencian a los ataques malfunction yreplay. Tras un estudio preliminar del comportamiento de los IDs en cada ataque, nos parece razonable fijar y= 3,γ= 0.01 yn= 6. Con respecto al resto de par´ ametros (L,j,x,αyp), para cada veh´ ıculo utilizamos la combinaci´ on ´ optima obtenida anteriormente. En la Tabla VIII se muestran los F-scores para cada muestra de test. El modelo es capaz de distinguir perfectamente entre los ataques flooding,fuzzy ymalfunction, y las falsas alarmas son asignadas en su mayor´ ıa al ataque fuzzy. Es por esto por lo que para el Soul y el Spark los F-scores aumentan con respecto a los de la Tabla VI para los ataques flooding ymalfunction y dismininuyen para el ataque fuzzy, y para el Sonata los F-scores no cambian ya que no se dan falsas alarmas. Con respecto a la base Car-Hacking, de nuevo las falsas alarmas son clasificadas como fuzzy y en alg´ un caso se confunden los ataques malfunction con ataques replay. Al igual que para el algoritmo de detecci´ on, estos resultados podr´ ıan mejorarse optimizando con respecto a los par´ ametros y,γyn. Tabla VIII F-SCORES MODELO DE CLASIFICACI ´ ON. Flooding Fuzzy Malfunction Replay Media Soul 0.995 0.984 0.994 0.991 Sonata 0.995 0.994 0.992 0.994 Spark 0.996 0.931 1 0.976 Avante 0.997 0.971 0.962 0.972 0.975 V. CONCLUSIONES En este art´ ıculo hemos propuesto un novedoso modelo de detecci´ on de anomal´ ıas en la red de comunicaci´ on interna de los dispositivos en veh´ ıculos. Este modelo se diferencia de los de la literatura existente en dos aspectos. Por un lado, utiliza como variable de inter´ es el tiempo entre mensajes, una variable continua que contiene m´ as informaci´ on que simples conteos y que permite aplicar t´ ecnicas de An´ alisis de Supervivencia. Por otro lado, el tiempo entre mensajes es calculado sin distinguir su ID, lo que aporta generalidad, simplifica el problema y disminuye los tiempos de ejecuci´ on. Los resultados obtenidos nos aportan varias conclusiones. Por un lado, para cada veh´ ıculo es posible adaptar el algoritmo propuesto (modificando sus par´ ametros) para detectar ataques con alta sensibilidad, incluso cuando el ratio de ataque es muy bajo. Sin embargo, esto puede provocar la aparici´ on de falsas alarmas debidas a los diferentes modos de generaci´ on de mensajes libres, por lo que es necesario valorar qu´ e es m´ as importante y tomar decisiones a ra´ ız de ello. Estos diferentes modos tambi´ en impiden la existencia de una combinaci´ on de par´ ametros global que aporte buenas precisiones para cualquier veh´ ıculo, por lo que ha de tratarse cada veh´ ıculo por separado. El modelo propuesto es un modelo general capaz de detectar anomal´ ıas en la red vehicular relacionadas con la inyecci´ on de mensajes. En cuanto a los ataques conocidos, hemos propuesto un algoritmo de clasificaci´ on que agrupa correctamente los ataques flooding,fuzzy,malfunction yreplay y que asigna mayoritariamente las falsas alarmas a ataques fuzzy. Como estudio futuro, queda pendiente profundizar en c´ omo la evoluci´ on temporal de la generaci´ on de mensajes y la correlaci´ on entre los elementos de las muestras puede influir en los resultados, principalmente en la detecci´ on de falsas alarmas. REFERENCES [1] Crypto World. Smart Car Hacking. (22 de enero de 2013). Accedido el 18 de marzo de 2024. [Video en l´ ınea]. Disponible: https://www. youtube.com/watch?v=katVec SwA4. [2] J. Torchinsky. “Hackers steal BMWs in 3 minutes using security loophole”. NBC News. Accedido el 18 de marzo de 2024. [En l´ ınea]. Disponible: https://www.nbcnews.com/tech/tech-news/ hackers-steal-bmws-3-minutes-using-security-loophole-flna868400. [3] Black Hat — Home. Accedido el 18 de marzo de 2024. [En l´ ınea]. Disponible: https://www.blackhat.com/docs/us-17/thursday/ us-17-Nie-Free-Fall-Hacking-Tesla-From-Wireless-To-CAN-Bus-wp. pdf. [4] J. P. Klein y y M.L. Moeschberger, ”Survival analysis: Techniques for censored and truncated data”, 2a ed. New York: Springer, 2003. [5] Hacking and Countermeasure Research Lab. 2020. Survival Analysis Dataset for Automobile IDS. Retrieved August 1, 2021 from https://ocslab.hksecurity.net/Datasets/survival-ids. [6] Hacking and Countermeasure Research Lab. 2020. Car-Hacking: Attack &Defense Challenge 2020. Retrieved August 1, 2021 from https://ocslab.hksecurity.net/Datasets/carchallenge2020. [7] J. Khan, D.-W. Lim y Y.-S. Kim, “Intrusion Detection System CAN- Bus In-Vehicle Networks Based on the Statistical Characteristics of Attacks”, Sensors, vol. 23, n.º 7, p. 3554, marzo de 2023.. [8] H. M. Song, J. Woo y H. K. Kim, “In-vehicle network intrusion detection using deep convolutional neural network”, Veh. Commun., vol. 21, p. 100198, enero de 2020. [9] M. Jedh, L. Ben Othmane, N. Ahmed y B. Bhargava, “Detection of Message Injection Attacks Onto the CAN Bus Using Similarities of Successive Messages-Sequence Graphs”, IEEE Trans. Inf. Forensics Secur., vol. 16, pp. 4133–4146, 2021. [10] Kalutarage, H. K., Al-Kadri, M. O., Cheah, M., &Madzudzo, G. ”Context-aware anomaly detector for monitoring cyber attacks on automotive CAN bus”, Proceedings of the 3rd ACM Computer Science in Cars Symposium pp. 1-8, octubre de 2019. [11] Wang, Y., Chia, D. W. M., &Ha, Y., ”Vulnerability of deep learning model based anomaly detection in vehicle network”, 2020 IEEE 63rd International Midwest Symposium on Circuits and Systems (MWSCAS), pp. 293-296, agosto de 2020. [12] H. Narasimhan, V. R y N. Mohammad, “Unsupervised Deep Learning Approach for In-Vehicle Intrusion Detection System”, IEEE Consum. Electron. Mag., p. 103-108, 2021. [13] V. K. Kukkala, S. V. Thiruloga y S. Pasricha, “LATTE: L STM Self- Att ention based Anomaly Detection in E mbedded Automotive Platforms”, ACM Trans. Embedded Comput. Syst., vol. 20, n.º 5s, pp. 1–23, octubre de 2021. [14] M. L. Han, B. I. Kwak y H. K. Kim, “Anomaly intrusion detection method for vehicular networks based on survival analysis”, Veh. Commun., vol. 14, pp. 52–63, octubre de 2018. 8 An´alisis de Supervivencia para la detecci´on y clasificaci´on de anomal´ıas en veh´ıculos 237 ANEXO A: BASES DE DATOS El desarrollo de este estudio se ha apoyado en dos bases de datos p´ ublicas que recogen la comunicaci´ on entre dispositivos de diferentes veh´ ıculos: Survival Analysis Dataset for Automobile IDS (Survival), [5], y Car Hacking Dataset (Car- Hacking), [6]. Han sido utilizadas en retos de ciberseguridad en Corea del Sur, concretamente en 2019 Information Security R&D Dataset Challenge y en Car Hacking: Attack &Defense Challenge 2020 respectivamente. En ambos casos los mensajes entre dispositivos han sido recogidos a trav´ es de un puerto intravehicular OBD-II. Por un lado, las bases de datos libres han sido recogidas bajo una conducci´ on ‘normal’ real de cada veh´ ıculo. Por otro lado, los ataques han sido simulados previamente e inyectados peri´ odicamente durante la conducci´ on. La base Survival recoge datos de tres veh´ ıculos: KIA Soul, HYUNDAI Sonata y CHEVROLET Spark. Para cada uno de ellos se incluyen cuatro conjuntos de datos: una base libre y tres bases con ataques flooding,fuzzy ymalfunction respectivamente. La base Car-Hacking recoge datos de un veh´ ıculo HYUNDAI Avante CN7 y cuenta con una base libre y dos bases atacadas, cada una de ellas con ataques flooding, fuzzy,malfunction yreplay. En las Tablas IX y X se muestra el n´ umero de mensajes libres y mensajes inyectados para cada base de datos, y en la Fig. 7 se muestra, para cada base atacada del Avante, la distribuci´ on de los mensajes a lo largo del tiempo. Vemos como los mensajes libres permanecen durante todo el rango temporal, ya que los ataques consisten en la inyecci´ on de mensajes malignos entre mensajes libres. Fig. 7. Distribuci´ on de mensajes a lo largo del tiempo para las dos bases atacadas del HYUNDAI Avante CN7. Tabla IX N´ UMERO DE MENSAJES LIBRES Y MALIGNOS PARA CADA CONJUNTO DE DATOS DE LA BASE SURVIVAL. Soul Sonata Spark Base Free Attack Free Attack Free Attack Libre 192 516 0 117 173 0 136 934 0 Flood. 139 788 33 141 109 931 32 422 52 632 22 587 Fuzzy 197 539 39 812 110 332 18 103 32 092 5812 Malf. 155 974 7401 109 511 15 974 38 402 8047 Tabla X N´ UMERO DE MENSAJES LIBRES Y MALIGNOS PARA CADA CONJUNTO DE DATOS DE LA BASE CAR-HACKING. Avante Free Flood. Fuzzy Malf. Replay Base libre 179 346 0 0 0 0 Base atacada 1 733 752 38 521 22 620 988 10 509 Base atacada 2 811 532 38 852 22 854 2891 13 266 9 P. Men´endez-Trillo, F. Otero-V´azquez and J. de U˜na-´ Alvarez 238