入侵检测系统背景

智能网联汽车不再是一个孤立的嵌入式系统了，信息安全问题越来越被重视。国内外发布了多项标准法规，来规范汽车网络安全的发展。其中有不少法规对车辆网络安全检测提出要求，如表1。

表1 车辆网络安全监控法规要求

入侵检测系统（IDS）是按照一定的安全策略对网络、系统及其运行状态进行监控，并试图发现各种攻击企图、攻击行为或攻击结果，以保证网络系统的机密性、完整性和可用性。当存在恶意活动的软件或车载网络被篡改、注入时，汽车入侵检测系统可以通过分析车内流量或系统状态进行攻击识别，并发出安全警报。

在汽车上，根据检测的对象，可以将入侵检测系统分成两类，包括网络入侵检测系统和主机入侵检测系统。

网络入侵检测系统可以对包括CAN总线、车载以太网、WIFI、蓝牙数据等车载网络进行检测。目前已有很多基于规则的和基于AI方法的研究。如【1】设计了规则和AI混合的多层SOME/IP入侵检测方法，基于规则的模块用于检测SOME/IP报头、SOME/IP-SD消息、消息间隔和通信过程，利用AI检测SOME/IP的有效负载。考虑到实际部署成本，在车载控制器中往往部署基于规则的入侵检测系统，利用专家知识、车载网络数据库等建立规则库，进行检测。

基于主机的入侵检测系统则对控制器的操作系统进行安全监控。随着汽车智能网联化，车载控制器不再仅由MCU组成，Linux、Android、QNX频繁地在各类域控制器中出现。SOC在给汽车带来强大功能的同时，也成为对汽车的一条重要攻击路径。主机入侵检测系统可对操作系统进行资源监控、文件监控、病毒扫描等。

在检测识别到车内的异常攻击行为后，通过生成安全日志，并将安全日志上传到汽车安全运营平台（VSOC），是一种有效的攻击行为追溯，监控智能网联汽车安全状态手段。

02

AUTOSAR入侵检测系统架构

汽车开放系统架构（AUTomotive Open System Architecture）是一家致力于制定汽车电子软件标准的联盟。AUTOSAR是由全球汽车制造商、部件供应商及其他电子、半导体和软件系统公司联合建立，各成员保持开发合作伙伴关系。自2003年起，各伙伴公司携手合作，致力于为汽车工业开发一个开放的、标准化的软件架构。AUTOSAR这个架构有利于车辆电子系统软件的交换与更新，并为高效管理愈来愈复杂的车辆电子、软件系统提供了一个基础。此外，AUTOSAR在确保产品及服务质量的同时，提高了成本效率。

AUTOSAR对汽车入侵检测系统的架构，如图1。整个车载入侵检测系统主要包括了安全探针、管理模块（IdsM）、安全事件存储（Sem）、报告模块（IdsR）。

图1 分布式车载IDS架构【2】

（1）安全探针

安全探针是检测网络流量、系统事件中潜在网络威胁的模块。当检测到异常后向管理模块发送安全事件（Security Events，SEv）。常见安全探针包括CAN入侵检测系统、以太网入侵检测系统、主机入侵检测系统等。

（2）管理系统

当管理模块接收到SEv后，如图2，依次经过拦截过滤器（Blockers）、采样过滤器（Sampling）、聚合过滤器（Aggregation）以及速率限制过滤器（Rate Limitation），生成合格的安全事件（Qualified Security Events, QSEv）。管理模块将 QSEv 发送到入侵检测报告模块，并将其存储在安全事件存储器“SEM”中。

图2 管理模块过滤链【2】

拦截过滤器根据上传模式及当前状态对事件进行过滤；采样过滤器允许每个事件的第N条通过；聚合过滤器将配置时间内的所有SEv聚合成一个，并对聚合后的事件数量进行阈值过滤；速率限制过滤器根据配置时间间隔内的SEv数量及字节数进行过滤。

（3）报告模块

IdsR将QSEv发送给VSOC。IdsR与IdsM之间的安全事件报文如图3。它的最小长度为 8 个字节（对于事件帧），包括了协议版本、协议头、IdsM实例ID、探针实例ID、事件ID、事件数量、保留字段。此外，报文包括3个可选字段：时间戳、上下文数据及签名。

图3 安全事件报文【3】