青骥信息安全原创技术系列专题
上期对智能车IDS的检测技术进行了全面的介绍，本期我们介绍一下AutoSAR IDS标准。AutoSAR RS20-11版本给出了IDS的实现架构，包括几个核心的组件（IdsM,IdsR,SEM）的需求和规格定义，也包括IdsM和IdsR之间的通信协议的详细定义。图1. Architecture of a distributed onboard IDS- 入侵检测系统管理器（Intrusion Detection System Manager，IdsM）
- 安全事件存储器（Security Event Memory，Sem）
- 入侵检测系统报告器（Intrusion Detection System Reporter，IdsR）
1. 安全传感器和安全事件（Security Sensors and Security Events）安全传感器概念可以简单的定义为任何产生安全事件的组件（这是作者的定义，非官方定义，为便于理解）AutoSAR当前版本把安全事件的检测任务交给了Security Sensor，而不是IdsM或者IdsR组件。后两者的主要职责只是安全事件的搬运工。AUTOSAR标准里说BSW模块，CDD和SWC都可以充当安全传感器。安全传感器将安全事件（SEv）报告给IdsM。AUTOSAR标准化了可以由AUTOSAR BSW报告的安全事件类型的子集。每个BSW的规格里列出了自己产生的安全事件类型，这些事件由相应模块报告，业务组件也可以报告在AUTOSAR中未标准化的自定义安全事件类型。可以使用安全性摘要（SecXT）指定由特定ECU报告的安全性事件类型的属性。1) IdsM最重要的功能就是将本ECU内各Sensor产生的安全事件（后都记为SEv）发送给车内集中的IdsR组件，IdsR组件再将车内的SEv发送到云端。2) IdsM可以使用一组经过配置的过滤器对安全事件进行检测和过滤。这组过滤器称为“过滤器链”。如果SEv通过其筛选器链，则将其视为合格安全事件（QSEv）。3) 根据配置，IdsM可以将QSEv传递到安全事件存储器（Sem），以将其保留在本地ECU上，可供离线分析。入侵检测系统报告器（IdsR）从不同ECU的IdsM实例接收安全事件。IdsR通常应进一步丰富接收到的数据，例如具有地理位置。根据OEM的需求，可以将数据传播到SOC，以在SIEM解决方案中进行进一步分析。AUTOSAR没有提供IdsR的规范。IdsM实例规范和IdsR之间的通信协议在IdsM协议规范[6]中指定：本版本AutoSAR 并没有对IdsR作详细定义，相信未来版本会增加下面表格（表1）是本版本AutoSAR IDS所支持的用例（应用场景）综上可见，本版本AutoSAR IDS仅定义了IDS的最基本的应用场景和核心的架构，主要目的应该是标准化车内安全事件，以及事件的发送机制（先把物流建起来），以便云端能理解并处理各种车型上送的安全事件。图2显示了IDS的抽象功能架构，IdsM组件关键功能包括：1. 对本地ECU其他Sensor发送的安全事件进行缓存 下图（图3）标识了IdsM组件部署在AutoSAR CP BSW安全栈中
- 周边的Sensor组件发送相关安全事件给IdsM，包括StbM，Dcm，SocOC，Canif，EthIf，keyM等组件
安全事件的定义主要包括：事件名，事件描述，事件ID所有安全事件定义集中在AUTOSAR_MOD_GeneralDefinition_SecurityEvents.arxml文件中IDS协议独立于所使用的硬件和基础通信接口（例如CAN，以太网，FlexRay）。它经过优化，以符合标准CAN总线通信的要求，并提供有关安全事件的最少必需信息。以太网通信也适用。使用以下公式计算安全事件签名的加密值：事件框架+可选时间戳+可选上下文数据。 使用哪种加密算法取决于系统。IDS协议没有规定任何特定的算法或格式
- 在现有BSW模块/功能集、操作系统和应用程序中实现
- 在IDS管理器（IdsM）中对IDS事件进行ECU本地合并
- IDS报告器（IdsR）中IDS事件在车辆上的本地合并
