早在1986年，美国人DorothyE.Denning和PeterNeumannn就提出了入侵检测系统的概念，并进行了系统性研究。这些年来IDS一直在网络安全中发挥重要作用。但是随着网络结构越来越复杂，IDS经常会因为误报而被人们贴上不够可靠的标签。而近年来云计算和人工智能的发展，为IDS提供了再度焕发活力的机会。

入侵检测系统，顾名思义就是用于检测网络入侵行为的系统。而入侵行为包括任何（可能）损害到数据机密性、完整性或者可用性的非授权访问。它是在防火墙之上的第二层保护。

举个例子，这个例子在后文会反复使用:

以公司保护为例子，

防火墙就像公司门口的门禁，没有卡的人进不去。

而IDS就像门口坐在安保室监控的保安，监控着有没有入侵行为发生。

IDS的两种检测手段

（1）基于签名的入侵检测系统（Signature-based intrusion detection system, SIDS）

这种方法是基于已知攻击的数据库，通过设定规则监控数据包，识别出符合特征的攻击。这里的签名指的是已知攻击的特征，例如攻击数据包具有特定的字节长度或者入侵序列等。

以上述例子来看，这种方法就相当于：

假如定义同时有三个人举着横幅通过门禁，就认为这些人可能是来搞事情（入侵）的，发起警报。

这种方法的

好处是规则特征已知且精确，误报少，

缺点就是不能对付未知的攻击，需要数据库及时更新。

（2）基于异常的入侵检测系统（Anomaly-based intrustion detection system, AIDS）

这种方法是先建立正常网络情况下的活动基准，如果实际活动情况和正常基准相差较大，就认为是入侵。

同样以上述例子来讲解，这种方法就相当于

近一个月正常情况下，公司每天进出400到600人，从早9点到晚9点结束，以此作为基准。如果哪天有人早上4点就进入门禁，那么就认为这人可能是来搞事情（入侵）的，发起警报。

这种方法的

好处就是可以应对暂时未知的攻击，

缺点是容易引起误报。

IDS在汽车领域的应用

汽车领域应用IDS的约束

虽然IDS由来以久，但是由于传统汽车电子电气架构相比计算机网络来说较为简单，IDS与其他IT界的网络安全手段类似，早前并没有在汽车控制器上部署。但近年来随着汽车新四化的发展，汽车电子也在进化，汽车网络安全方兴未艾，IDS同样是这个舞台上一个重要的角色。连AUTOSAR也在2018年发布的版本中加入了IDS的相关标准设计和描述。

当然，在汽车领域应用IDS并不是将IT那一套简单的即插即用，因为在汽车电子领域的IDS应用还有一些额外的约束：

1. 分布式架构。 整车电子电气架构目前还主要是分布式的，很多功能需要在多个ECU上实现。目前整车使用较多的是多个功能域控制器，下面再连接各个传感器或子控制器的架构。汽车中央电脑统一处理各个功能域的方案更多还是OEM的预研项目，短时间内还难以量产。

2. 软硬件异构多样性。 汽车产业的一个特征就是产业链上下游丰富，一台整车上的所有电子部件可能来自于几十家不同的供应商。每个控制器采用的核心处理器、操作系统、软件模块都不同。当然也有AUTOSAR这样的组织通过合理抽象和统一架构，力图让异构多样的软硬件能在“同一频道”沟通。下文也会介绍AUTOSAR的IDS方案。

3. 资源有限。 相比计算机，汽车上控制器的资源，比如算力、存储空间等捉襟见肘。诸如机器学习、人工智能的IDS方案都需要车云结合等方案来实施。

IDS在AUTOSAR下的设计

针对汽车领域的这些特点，不同厂商会有不同的策略。接下来我们看看作为汽车架构领导者的AUTOSAR所设计的方案。

我们首先看看IDS方案的宏观架构。

入侵检测系统 IDS的图2

这是一个车载分布式IDS方案，车端最终通过无线通讯单元把数据上传给云端作分析判断。云端部分可以更多地融合IT界的方案，可以做更复杂的运算以作最终判断。当然车端控制器也要作适当的初步判断和筛选，否则车云通讯的带宽不支持。以上述例子来说，云端就相当于警察，他们有指纹库、犯罪记录库、专业的盘问方法等丰富资源，可以更准确地判断是否构成入侵行为。车端就相当于公司园区的监控设备和保安，掌握第一手实时信息，但也需要作初步分析和筛选，不能一股脑碰到所有疑似情况都去报警。

车端四种类型的IDS功能模块

下面重点来看车端。车端各个控制器上存在四种类型的IDS功能模块，分别是：

1. Host based Sensors

这是针对控制器内部行为的监控模块，例如监控控制器内部的内存使用情况等。

同样以上述例子来讲解，这就相当于在公司内部巡逻的保安队员，主要监控公司内有没有什么可疑人物出现或者有没有什么异常情况发生。

2. Network based Sensors

这是针对网络行为的监控模块，例如监控LAN Switch上的流量或者防火墙的拦截情况。

同样以上述例子来讲解，就相当于监控门口摄像头情况的保安，主要监控门口进出的人流量或者有没有人堵在门禁不让其他人进出。

3. IdsManager

上述两个Sensor发现潜在攻击行为时，就会上报给IdsManager，作初步分析。Sensor上报的事件叫Security Event （SEv）。如果IdsManager分析认为事件符合条件，那该事件就是Qualified Security Event （QSEv）。

以上述例子来讲解，这就像保安队长，需要对下属上报的潜在入侵事件作分析判断，看行为是否够格上报。

4. IdsReporter

IdsManager分析后的QSEv都统一传输给IdsReporter。它一般部署在TBox等无线通讯模块，将数据打包发往云端。

以上述例子来讲解，这就相当于集团的联络专员。各个子公司的保安队长发现入侵行为时，就会汇总给这个专员，由TA统一报警。

车上有CAN、CANFD、以太网等多种网络，多个功能域控制器下挂着若干传感器和子控制器，是目前典型的电子电气架构。这个方案的大体思路就是分层部署，各司其职。这就针对性地满足了分布式、资源有限和车云交互的需求。

按照控制器本身功能的重要性部署Host based Sensors，按照控制器节点在整车网络的位置重要性部署Network based Sensors。功能和网络位置都重要的控制器可以同时部署两种Sensors。部署了Sensors的控制器就会同时部署IdsManager，Sensors负责监控基础变量，发现潜在入侵行为则内部传输给IdsManager，由其在控制器层面初步评估后再与IdsReporter通讯。

Autosar IDS方案在控制器内部的具体实施细节

下图可以进一步展示该方案在控制器内部的实施细节。

实际上两种类型的Sensors

可以是特殊设计的一个软件组件（SWC），

也可以直接利用现有的其他基础软件模块来充当Sensors。

图中的蓝色箭头表示Sensors把潜在事件上报给IdsManager，例如SecOC鉴权失败的状态可以上报，EthDrv的以太网驱动异常状态也可以上报，这都是复用其他基础软件的例子。

IdsManager接到SEv后，按条件判断，若确实够格上报，则将QSEv通过PduR将安全事件以例如SOMEIP等通讯方式发送给IdsReporter。

而同时够格的安全事件也应该作相应的本地储存，即图中的橙色箭头。

作为可选项，Nvm可以加密数据（绿色箭头），并以IdsM检测的方式存储数据。棕色箭头显示除了本地存储之外的第二种方式，QSEv通过PduR发送到另一个ECU上的IdsR。

AUTOSAR拓展了原来的Diagnostic Event Manager (Dem)，使原来的诊断存储区内可以配置相应的安全事件区域（Security Event Memory, Sem）。

而非易失性存储区管理模块Nvm可以选择将安全事件加密存储到安全区HSM中，亦即图里的绿色路线。

实际上每个安全事件都应该可以单独配置限制规则、是否上报IdsReporter、是否本地存储、存储是否加密等，以保证IDS在每个控制器上都可以高效利用资源的自由度。

Vector IDS方案

ISO/SAE 21434（道路车辆-网络安全工程）是车辆安全标准，定义了当攻击发生时如图所示的5个步骤。汽车制造商必须对车辆中出现的安全漏洞做出响应。但是，只有在这些漏洞已知的情况下，才能执行此操作。汽车IDS由车载IDS和后端组成。

IDS检测针对ECU和网络的外部攻击，将其收集后发送到汽车制造商的后端-安全运营中心（SOC）。汽车制造商对数据进行评估并决定如何应对。

在分布式系统（如汽车E/E架构）中，中央ECU无法掌握其他ECU的所有安全事件。因此，IDS必须是分布式系统。
出于安全原因，应避免单点故障，最好的方法是使用分布式IDS。
为了避免整个系统设计变得不必要地复杂，汽车制造商需要一致的接口——即使软件和硬件平台是异构的。
需要考虑ECU的特定限制，如有限的计算能力和存储空间。
避免网络上不必要的负载，例如，在向后端报告安全事件之前进行收集和验证。
根据实时性要求确定安全事件。

汽车IDS结构

简而言之，汽车IDS由五部分组成：

安全传感器是软件算法，检测攻击并将其作为安全事件报告给入侵检测系统管理器。
在入侵检测系统管理器（IdsM）中，当满足指定条件时，安全事件通过过滤器并成为合格安全事件（QSEv）。IdsM发送与中央入侵检测报告器相关的QSEv，并将其存储在安全事件存储器中。
入侵检测报告器（IdsR）将QSEv转发给汽车制造商的安全运营中心。
工作在安全运营中心（SOC）的安全专家检查数据的合理性，采取措施消除检测到的威胁，并提高未来针对类似攻击的保护对策。
安全事件存储器（SEM）能够将安全事件存储在单独且特别安全的区域中

E/E架构的每个节点可以包含本地IdsM，彼此之间没有层次依赖关系。在安全工程过程中，汽车制造商决定E/E架构的哪些节点具有IdsM。

2018年，AUTOSAR实现了IDS标准化的第一步：在AUTOSAR 4.4中定义了安全事件和安全事件存储器（Sem）。

自AUTOSAR 20/11以来，入侵检测系统管理器（IdsM）已成为标准的一部分，重点关注：

面向分布式车载IDS的高层架构
基础软件模块和应用软件组件向IdsM报告安全事件的接口
对报告的安全事件进行判断的资格过滤器
IdsM和IdsR之间的通信
标准化特定基础软件模块的安全事件类型

扩展：入侵检测和防御系统

入侵检测系统（IDS，Intrusion Detection System）:

可以检测网络中可能发生的不同类型的攻击，如拒绝服务(DoS，Denial of Service)/分布式拒绝服务(DDoS, Distributed Denial of Service)、端口扫描、恶意软件或勒索软件等。

入侵防御系统（IPS，Intrusion Prevention System）:

帮助减轻或避免上述攻击，防止其对车载系统造成破坏。

IDPS: 兼具检测和防御功能的能够使安全防护效果加倍：

一方面监视系统并保护网络免受入侵者的攻击，另一方面在网络环境中发生攻击时向管理员提供报告，帮助进一步反馈响应措施。

IDPS的原理

入侵检测防御系统IDPS的核心功能是入侵检测和响应阻止。完整的车辆IDPS系统是车端云端相结合的动态防御系统，能够实现车载网络安全攻击和异常事件的有效收集、检测与应对，其典型的工作拓扑结构如图2所示。

当车辆遭受黑客攻击时，数据采集模块会实时采集车端各组件或车载总线网络（如CAN/CANFD、以太网等）中的报文数据和安全状态信息，并将其发送给入侵检测模块，用于检测车载网络中的异常流量和车内操作系统中的异常行为。此外，检测规则库中的规则能够为入侵异常检测提供有效支撑。当检测到异常后，需要向IDPS事件管理模块上报入侵事件。事件管理模块对安全事件进行一定的处理过滤，生成相应的报警日志和响应措施。其中，报警日志会上传给云端安全运维中心（VSOC），进行所有车辆相关事件和状态的管理和呈现。同时会通过OTA等方式，更新车端的安全防护策略，以提高车辆的安全等级。

IDPS的分类

根据检测对象的不同，车载入侵检测与防御系统IDPS可分为主机型、网络型和混合型，具体介绍如下：

（1）基于主机的入侵检测防御系统（H-IDPS，Host-based IDPS）

H-IDPS主要对易受攻击的关键ECU进行监视和保护，通过监控T-BOX、中央网关、IVI等具有操作系统或对外接口的主机系统，采集和分析其文件完整性、网络连接活动、进程行为、资源使用情况、日志字符串匹配等事件特征，实现系统异常行为的检测。

（2）基于网络的入侵检测防御系统（N-IDPS，Network-based IDPS）

N-IDPS主要检测车辆内部网络的入侵事件，通过采集车载网络总线上的报文数据，进行特定网络段或设备的流量数据监控、数据载荷解析和字段匹配等活动，以识别网络中出现的异常流量和潜在攻击行为。

（3）混合式入侵检测防御系统（Hybrid IDPS）

混合式IDPS是基于网络的IDPS与基于主机的IDPS的结合。对于智能网联汽车来说，混合IDPS的使用最广泛，且更有利于全面地检测和应对车辆的可疑威胁。

此外，根据检测技术的差异，可将IDPS进一步细分出基于特征、基于信息论和统计分析和基于机器学习的检测机制，具体介绍如下：

· 基于特征的检测方法

基于特征的检测方法是常见的入侵检测技术之一，广泛应用于车辆网络入侵检测的研究。该方法通过监控车辆的内部网络，从中提取不同的特征来识别入侵或异常行为。通过对车辆网络架构和网络协议的分析，发现可用于入侵检测观察的网络特征包括设备指纹（通过时域和频域信息提取）、时钟偏移、频率观察和远程帧等。基于特征的检测方法通常可以实现对特定攻击模型的高检测精度，并且具有响应时间短和网络带宽开销低的特点。

Yilin Zhao等[1]设计了一种新的基于指纹的Clock-IDS来进行车辆入侵检测和防护。该系统根据时钟偏差为每个ECU建立唯一的指纹，利用经验规则和动态时间扭曲实现了入侵检测和攻击源识别功能。最终实验得出检测三种类型攻击的准确率为98.63%，识别攻击源的平均准确率为96.77%，每次检测的平均时间成本仅为1.99ms。Song等人[2]提出了一种基于消息时间间隔统计分析的轻量级入侵检测系统。他们发现，分析消息的时间间隔是检测数据包的重要特征，通过消息频率分析可有效检测流量异常和消息注入攻击。

· 基于信息论和统计分析的检测方法

当车辆受到恶意攻击（如DOS、重放等）时，CAN总线的信息熵将显著降低，这在资源有限的车辆网络入侵研究中被广泛应用，很多研究逐渐关注基于熵的异常检测系统。

Muter和Asaj等人[3]最早提出在车辆检测网络中使用信息熵的概念，并通过检测消息注入(MI)攻击、DoS攻击讨论了该方法的合理性和适用性。Mirco Marchetti等人[4]则介绍了一种基于熵的入侵检测系统，并评估了其应用于现代车辆网络的有效性。实验结果表明，如果将基于熵的异常检测应用于所有CAN消息，则只能检测伪造攻击。该方法完全独立于报文内容，因此可直接应用于任何车辆的CAN总线，但需要并行执行多个异常检测器。

· 基于机器学习的检测方法

机器学习、神经网络和其他理论也是研究车辆网络入侵检测技术的热门方向。这类检测方法引入机器学习等机制来完成正常样本的识别，技术普适性较强，无需对适配车型进行定制化开发，但存在异常样本采集数量大和训练难度高的问题。

Kang和Kang[5]提出一种基于深度神经网络(DNN)的入侵检测系统。该系统在ECU之间交换的车内网络数据包的高维特征提取比特流上训练检测模型。对于给定的数据包，DNN提供每个类别区分正常和攻击数据包的概率，因此传感器可以识别对车辆的任何恶意攻击。实验结果表明，该技术可以提供对攻击的实时响应，并显著提高CAN总线中的检测率。Taylor等人[6]提出一种基于长短期记忆神经网络的异常检测器来检测交错、丢弃、不连续、异常和反向攻击这五种类型的网络攻击。实验结果表明，该方法能够以高检测率和低误报率检测出异常报文。

参考文献：

[1] Zhao Y, Xun Y, Liu J. ClockIDS: A Real-Time Vehicle Intrusion Detection System Based on Clock Skew[J]. IEEE Internet of Things Journal, 2022, 9(17): 15593-15606.

[2] Song H M, Kim H R, Kim H K. Intrusion detection system based on the analysis of time intervals of CAN messages for in-vehicle network[C]. International Conference on Information Networking (ICOIN), 2016: 63-68.

[3] Michael Müter N A. Entropy-based anomaly detection for in-vehicle networks[C]. In Proceedings of the 2011 IEEE Intelligent Vehicles Symposium (IV), 2011.

[4] Mirco Marchetti D S, Alessandro Guido, Michele Colajanni. Evaluation of anomaly detection for in-vehicle networks through information-theoretic algorithms[C]. EEE 2nd International Forum on Research and Technologies for Society and Industry Leveraging a better tomorrow (RTSI), 2016.

[5] Kang M J, Kang J W. Intrusion Detection System Using Deep Neural Network for In-Vehicle Network Security[J]. PLoS One, 2016, 11(6): e0155781.

[6] Adrian Taylor S L, Nathalie Japkowicz. Anomaly Detection in Automobile Control Network Data with Long Short-Term Memory Networks[C]. IEEE International Conference on Data Science and Advanced Analytics (DSAA), 2016.

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/从前慢现在也慢/article/detail/1017144