Resumo Técnico: Residualização Comportamental para Detecção de Intrusão Não Supervisionada em Redes CAN Automotivas

1. Definição do Problema

Os veículos modernos dependem da rede Controller Area Network (CAN) bus, um protocolo projetado para baixo custo e desempenho em tempo real que carece de autenticação de mensagens, criptografia ou proteção de integridade nativas. Consequentemente, um atacante com acesso físico ou remoto (por exemplo, via uma porta de diagnóstico comprometida ou unidade de infoentretenimento) pode injetar quadros arbitrários.

Embora os frameworks regulatórios como UNECE R155 e ISO/SAE 21434 exijam sistemas de detecção de intrusão (IDS), a maioria das soluções existentes baseia-se em características baseadas em presença. Esses métodos detectam anomalias identificando novos IDs de arbitragem, bytes de payload congelados ou valores de Data Length Code (DLC) incomuns. Embora essas abordagens alcancem pontuações quase perfeitas em conjuntos de dados públicos como o HCRL (que contêm ataques de presença trivialmente separáveis), elas falham contra adversários realistas que reutilizam IDs de arbitragem legítimos. Nesses cenários, anomalias superficiais estão ausentes, e a detecção deve basear-se em desvios comportamentais sutis dentro do tráfego de IDs conhecidos.

2. Metodologia: Residualização Comportamental por ID (PIRD)

O artigo propõe a Residualização Comportamental por ID (PIRD), uma técnica de aprendizado de representação projetada especificamente para o desafio de detectar ataques que reutilizam IDs legítimos. Em vez de propor um novo algoritmo de detecção, a PIRD transforma os dados de entrada em uma representação que destaca desvios do comportamento normal específico de um ID.

Mecanismo Central

1. Extração de Características por Janela Deslizante: Para cada ID de arbitragem $k$, o sistema mantém uma janela deslizante das $w$ frames mais recentes (padrão $w=30$). Dessas janelas, 14 características comportamentais são extraídas através de três famílias:

   • Tempo Interchegada (IAT): Média, desvio padrão, mediana, mínimo e máximo.
   • DLC: Moda e desvio padrão do código de comprimento de dados.
   • Payload: Média, variância, mudança absoluta consecutiva máxima, número de valores de bytes distintos e entropia de Shannon.
   • Contexto: Razão de preenchimento da janela e tempo desde que o ID foi observado pela última vez.

2. Transformação Residual por ID: A principal contribuição é a etapa de residualização. Durante uma fase de calibração usando apenas tráfego benigno, o sistema computa a média ($\mu^k_j$) e o desvio padrão ($\sigma^k_j$) para cada característica $j$ específica do ID de arbitragem $k$. Para qualquer janela de teste, o valor bruto da característica $x^k_{t,j}$ é transformado em um resíduo padronizado:
   $$r^k_{t,j} = \frac{x^k_{t,j} - \mu^k_j}{\sigma^k_j + \epsilon}$$
   Se um ID estiver ausente na calibração, estatísticas globais são usadas como contingência.

3. Avaliação Independente de Detector: Os vetores residuais resultantes são alimentados em detectores de anomalias não supervisionados padrão (Isolation Forest, One-Class SVM, LOF, HBOS, Elliptic Envelope e Autoencoders). O framework é projetado para que a representação, e não o detector específico, impulsione os ganhos de desempenho.

4. Protocolo de Avaliação por Captura: Para o conjunto de dados ROAD, que consiste em sessões de condução independentes, os autores introduzem um "protocolo por captura". A calibração e o limiarização são realizados no segmento normal pré-injeção de cada captura individual para garantir o alinhamento temporal, em vez de tratar o conjunto de dados como um fluxo contínuo único.

3. Principais Contribuições

• Uma Representação Residual Comportamental por ID: Um método que condiciona cada característica ao próprio baseline normal de um ID de arbitragem. Isso garante que um quadro injetado em um ID legítimo produza um grande desvio padronizado, mesmo que o ID em si não seja novo.
• Validação Multi-Detector: Evidência demonstrando que os ganhos de desempenho são inerentes à representação residual, e não a um algoritmo específico. O método foi avaliado em seis detectores não supervisionados.
• Avaliação Rigorosa em Dados Reais: Aplicação do método ao conjunto de dados ROAD, onde os ataques reutilizam IDs legítimos e são fisicamente verificados, contrastando com o dataset "orientado à presença" HCRL.
• Limites de Robustez Explícitos: Quantificação honesta de modos de falha (inundação de novos IDs e fuzzing entre IDs) em vez de tratá-los como defeitos ocultos.

4. Resultados Experimentais

Desempenho no HCRL (Sintético/Baseado em Presença)

• Residual vs. Bruto: As características comportamentais brutas performaram mal (F1 $\approx$ 0,00 para spoofing de RPM e Marcha). A residualização melhorou dramaticamente o desempenho, alcançando pontuações F1 de 0,992 para spoofing de RPM e 0,946 para spoofing de marcha.
• Independência do Detector: Através de cinco sementes aleatórias e seis detectores, a residualização melhorou o F1 médio em 21 de 24 células.
• Modos de Falha: O método falhou em ataques de DoS envolvendo novos IDs (F1 = 0,02) porque o baseline por ID não pôde ser estabelecido para IDs desconhecidos.

Desempenho no ROAD (Mundo Real/Reutilização de ID Legítimo)

• Ataques Alvo: Para ataques de ID único alvo (sinal correlacionado, velocímetro, luz de ré), a PIRD alcançou recall $\ge$ 0,99 com ROC-AUC $\approx$ 0,99, mesmo quando os ataques reutilizaram IDs legítimos.
• Fuzzing: O desempenho caiu significativamente em ataques de fuzzing entre IDs (F1 $\approx$ 0,27), pois estes representam uma mudança populacional que o condicionamento por ID não consegue detectar.
• Taxa de Falso Positivo (FPR): O FPR residual foi observado entre 2–5% no ROAD, atribuído a variações benignas no estado de condução (ex: mudanças de aceleração) que deslocam as janelas normais acima do limiar.

Eficiência

• Latência: O atraso de detecção está concentrado em janelas zero; um ataque é sinalizado dentro de um único passo de janela deslizante (aprox. 1,1 ms no pior caso).
• Throughidade: O sistema processa cerca de 0,2 milhões de janelas por segundo em hardware comum, com overhead negligenciável adicionado pela transformação residual.

5. Significância e Alegações

O artigo afirma que a residualização comportamental por ID é uma representação genericamente útil para detecção de intrusão em CAN, distinta de qualquer algoritmo de detecção específico.

• Mudança da Presença para o Comportamento: O trabalho demonstra que um IDS eficaz para ameaças modernas deve ir além de verificar IDs "novos" ou bytes "congelados". Em vez disso, deve detectar desvios no comportamento de IDs conhecidos.
• Generalização: O método generaliza com sucesso de dados sintéticos (HCRL) para dados realistas e fisicamente verificados (ROAD), provando que os ganhos não são artefatos de atalhos específicos do dataset.
• Cobertura Definida: Os autores definem explicitamente a "fronteira de cobertura" do método. A PIRD é altamente eficaz para ataques de ID legítimo direcionados, mas é cega para inundação de novos IDs e mudanças populacionais entre IDs. O artigo argumenta que essa limitação é um trade-off necessário para a robustez contra a reutilização de IDs legítimos, em vez de uma falha do sistema.
• Reprodutibilidade: O estudo estabelece um protocolo de avaliação por captura necessário para dados estruturados por sessão no mundo real e fornece código e configurações de código aberto para apoiar a reprodutibilidade.

Em conclusão, o artigo postula que o operador residual é o componente decisivo que permite a detecção não supervisionada de intrusões sofisticadas em CAN, desde que o modelo de ameaça envolva a reutilização de IDs de arbitragem legítimos.