车载软件架构 —— 车载软件入侵检测系统

我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。

老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师：

没有人关注你。也无需有人关注你。你必须承认自己的价值，你不能站在他人的角度来反对自己。人生在世，最怕的就是把别人的眼光当成自己生活的唯一标准。到最后，既没有活成别人喜欢的样子，也没有活成自己想要的样子。
我们只有接纳真实的自己，不自卑、不自傲，才能拥有更强大的内心；只有找到自己的核心价值，才能活出自己的精彩人生。

本文主要讲述如下内容，接着上一篇的介绍内容，继续聊AUTOSAR 安全启动相关内容：

-> 1、入侵检测概述

-> 2、入侵检测分类

-> 3、入侵检测适用范围

-> 4、入侵检测实施过程

一、入侵检测概述

入侵检测系统（intrusion detection system，简称 “IDS”）是一种对网络传输进行即时监视，在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。它与其他网络安全设备的不同之处便在于，IDS是一种积极主动的安全防护技术。

IDS依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果、以保证网络系统资源的机密性、完整性和可用性。入侵检测技术是当前车辆环境下用来发现攻击的主要方法，可发现系统已经发生的或潜在的安全威胁，通过对系统的活动、用户行为等进行监控，检测非法的外部入侵、越权访问、以及内部用户的非法活动，并且记录与上报所检测发现的入侵事件至云端的车辆安全运营中心，进行安全预警、分析与响应。

二、入侵检测分类

依据手段主要分为两类：

1、基于主机的入侵检测系统

作为主机系统的监视器和分析器，它并不作用于外部接口，而是专注于系统内部，监视系统全部或部分的动态的行为以及整个计算机系统的状态。通过监视与分析主机的审计记录和日志文件来检测入侵，日志中包含发生在系统上的不寻常活动的证据，这些证据可以指出有人正在入侵或者已经成功入侵了系统，通过查看日志文件，能够发现成功的入侵或入侵企图，并启动相应的应急措施。

2、基于网络的入侵检测系统

主要用于实时监控网络等外部接口，采集数据并加以分析现象，对收集漏洞信息、造成拒绝访问及获取超出合法范围的系统控制权等危害系统安全的行为，给出响应对策。

三、入侵检测适用范围

（1）、入侵检测系统从攻击来源角度可适用于检测以下攻击来源:

1、车辆外部接口攻击来源：控制通道、配置通道、数据通道；4G/5G 网络、WIFI、蓝牙、USB、摄像头等；

2、车辆内部接口攻击来源：以太网、CAN；

（2）、从攻击行为角度可适用于检测以下攻击行为：

1、重放：攻击者重复发送网络中其他设备正常传输的报文，根据不同场合可以达到不同效果。当重放报文是控制指令时，可以令设备运行异常，当重放报文是认证指令时，可以使得重放来源获取认证，导致攻击者权限提升；

2、 DoS 攻击（Denial of Service）：拒绝服务攻击，造成 DoS 的攻击行为被称为 DoS 攻击，其目的是使计算机或网络无法提供正常的服务；

3、篡改：攻击者在正常报文的传输过程中，对报文进行修改；或对文件进行替换、修改。

四、入侵检测实施过程

1、事件采集：各个 ECU 获取被监控系统或网络的信息，作为原始数据，用以进行入侵检测和分析。数据来源通常包括网络流程信息和各种日志数据。

2、事件分析：通过采集的事件数据，对入侵直接进行分析。针对不同环境的需求，对事件进行不同程度的分析。例如，异常行为的区分，入侵行为的认定，攻击原因和趋势分析，以及攻击场景构建等。

常见的入侵行为定义包括以下行为

-> CAN 报文如检测到周期异常，则可能是攻击者接入到车内网络进行报文重放，导致周期异常；

-> CAN 报文如检测到校验（CRC8、CRC16）错误，则可能是攻击者对报文进行采集，并进行篡改后发送到车内网络，导致出现检验错误；

-> ETH 包异常，如短期时间内收到数量极多的特性功能报文（TCP SYNC 包、ARP 包、ICMP 包等等），则可能是攻击者进行 DoS（拒绝服务）攻击；

-> 文件如检测到完整性校验不通过，则可能是攻击者对文件进行了篡改。

事件上报：各个 ECU 统一将事件信息发给 TBOX，由 TBOX 统一上报给车辆安全运营平台;

事件响应：车辆安全运营平台针对事件分析的结果，对异常、威胁及入侵进行响应。可以通过定义事件的响应级别来决定采取的措施，针对不同程度的威胁，采取不同程度的响应，例如中断服务、改变权限、报警等。安全响应的措施（或指令）并可以通过远程软件刷写平台，即 OTA，下发到车端 IDS，启动相应的安全防护.

搁笔分享完毕！

愿你我相信时间的力量

做一个长期主义者！