CAN BUS PROTECTION SYSTEMS AND METHODS

CAN bus signal format inference includes: extracting candidate signals from training CAN bus message traffic; defining one or more signals, each signal being a candidate signal that matches structural characteristics of a matching data type and each signal being assigned the matching data type; and generating an inferred CAN bus protocol with which the defined one or more signals conform. Signals are extracted from CAN bus message traffic using the inferred CAN bus protocol, an anomaly in an extracted signal is detected, and an alert is generated indicating the detected anomaly. In another aspect, a transport protocol (TP) signal is extracted and analyzed to determine a fraction of the TP signal that matches opcodes of a machine language instruction set, and an anomaly is detected based at least in part on the determined fraction exceeding an opcode anomaly threshold. Une détermination d'un format de signal de bus CAN comprend les étapes consistant à : extraire des signaux candidats d'un trafic de messages de bus CAN d'apprentissage ; définir un ou plusieurs signaux, chaque signal étant un signal candidat qui correspond à des caractéristiques structurales d'un type de données correspondant et chaque signal étant associé au type de données correspondant ; et générer un protocole de bus CAN déterminé auquel lesdits un ou plusieurs signaux définis sont conformes. Les signaux sont extraits du trafic de messages de bus CAN au moyen du protocole de bus CAN déterminé. Une anomalie dans un signal extrait est détectée. Une alerte indiquant l'anomalie détectée est générée. Selon un autre aspect, un signal au protocole de transport (TP) est extrait et analysé de façon à déterminer une fraction du signal TP qui correspond à des codes d'opération d'un ensemble d'instructions en langage machine. Puis une anomalie est détectée au moins en partie sur la base de la fraction déterminée comme étant supérieure à un seuil d'anomalie de code d'opération.