1. 靜態(tài)防御和動(dòng)態(tài)防御

車輛網(wǎng)聯(lián)化消除了黑客攻擊車輛的地域和距離限制，給黑客遠(yuǎn)程批量攻擊目標(biāo)車輛提供了可能，車輛網(wǎng)聯(lián)化的快速發(fā)展使車輛面臨的信息安全風(fēng)險(xiǎn)顯著增加。車輛在設(shè)計(jì)和運(yùn)行過(guò)程中，需要引入對(duì)應(yīng)的信息安全防護(hù)技術(shù)來(lái)應(yīng)對(duì)黑客攻擊的風(fēng)險(xiǎn)。

認(rèn)證、訪問(wèn)控制、加密技術(shù)等信息安全技術(shù)通常被稱為靜態(tài)防御技術(shù)，即在車輛分析和設(shè)計(jì)階段，引入一些固定的安全機(jī)制，這些安全機(jī)制在實(shí)際運(yùn)行過(guò)程中不做調(diào)整。靜態(tài)防御技術(shù)特點(diǎn)在于：安全策略是固定的，不會(huì)根據(jù)車輛在實(shí)際運(yùn)行過(guò)程中遇到的攻擊行為針對(duì)性進(jìn)行安全防護(hù)。

單純的靜態(tài)防御技術(shù)缺乏靈活性和針對(duì)性，不能很好地解決車輛所面臨的安全威脅。車輛入侵檢測(cè)與防御系統(tǒng)IDPS（Intrusion Detection & Prevention System）將安全防護(hù)的重點(diǎn)放在對(duì)車輛當(dāng)前狀態(tài)的安全檢測(cè)和動(dòng)態(tài)響應(yīng)上，即依據(jù)實(shí)際檢測(cè)出的攻擊事件，進(jìn)行針對(duì)性的安全防御。

相對(duì)認(rèn)證、控制、加密等靜態(tài)安全技術(shù)，IDPS系統(tǒng)在車輛運(yùn)行過(guò)程中發(fā)現(xiàn)實(shí)際發(fā)生的入侵事件以及靜態(tài)防御機(jī)制的不足，進(jìn)行針對(duì)性的安全策略更新，實(shí)現(xiàn)動(dòng)態(tài)安全防護(hù)。以IDPS為代表的動(dòng)態(tài)防御是靜態(tài)防御機(jī)制的一種重要補(bǔ)充，體現(xiàn)多重防御的基本安全原則，更好保障網(wǎng)聯(lián)車輛的信息安全。

2.IDPS的原理和結(jié)構(gòu)

IDPS系統(tǒng)的核心功能是入侵檢測(cè)（Detection）和響應(yīng)阻止（Prevention）。由于從理論上無(wú)法排除車輛IDPS系統(tǒng)的不當(dāng)檢測(cè)結(jié)果，完全自動(dòng)化的響應(yīng)阻止可能會(huì)給車輛帶來(lái)潛在的風(fēng)險(xiǎn)。實(shí)際的車輛IDPS系統(tǒng)在檢測(cè)出入侵后，通常需要安全運(yùn)維人員協(xié)助進(jìn)行響應(yīng)阻止，安全運(yùn)維人員協(xié)助用于降低IDPS不當(dāng)?shù)捻憫?yīng)方式帶來(lái)的風(fēng)險(xiǎn)。

完整的（或廣義的）車輛IDPS系統(tǒng)是端云結(jié)合的動(dòng)態(tài)防御系統(tǒng)其工作原理如下圖所示：



初始防御

車輛在下線（或OTA時(shí)），部署了初始的防御機(jī)制，如接口認(rèn)證，數(shù)據(jù)加密措施等。

檢測(cè)入侵

車輛在下線時(shí)，部署入侵檢測(cè)模塊。車端入侵檢測(cè)模塊主要采集車輛安全狀態(tài)和系統(tǒng)數(shù)據(jù)，并分析出可能存在的入侵事件。

上報(bào)入侵

通過(guò)車輛的網(wǎng)聯(lián)功能，車端入侵檢測(cè)模塊將檢測(cè)出的入侵事件，上報(bào)到云端服務(wù)器。

入侵管理

云端服務(wù)器通常以安全運(yùn)維中心（SOC）的形式存在，管理和呈現(xiàn)所有的車輛相關(guān)的事件（包括上報(bào)的入侵事件）和狀態(tài)。

相應(yīng)決策

通過(guò)車輛的網(wǎng)聯(lián)功能，車端入侵檢測(cè)模塊將檢測(cè)出的入侵事件，上報(bào)到云端服務(wù)器。

更新防護(hù)策略

通過(guò)OTA等方式，更新車端的安全防護(hù)策略，比如增加針對(duì)某遠(yuǎn)程端口的控制規(guī)則等。

廣義的IDPS不僅強(qiáng)調(diào)檢測(cè)（Detection），還強(qiáng)調(diào)防御（Prevention），這要求車端ECU支持的安全防護(hù)機(jī)制具有一定程度的靈活性、擴(kuò)展性，能夠執(zhí)行云端動(dòng)態(tài)下發(fā)的信息安全防護(hù)策略。靈活支持動(dòng)態(tài)防御機(jī)制需要車端ECU進(jìn)行專門(mén)化的設(shè)計(jì)，因而現(xiàn)在供應(yīng)商提供的車輛IDPS系統(tǒng)通常只涉及對(duì)入侵事件的檢測(cè)，較少涉及對(duì)入侵事件的響應(yīng)阻止，這種只涉及入侵檢測(cè)的IDPS通常被稱為IDS（Intrusion Detection System）系統(tǒng)。

3.數(shù)字鑰匙手機(jī)APP SDK組件

IDPS系統(tǒng)通?；陬A(yù)先定義好的一套規(guī)則和算法，進(jìn)行入侵判定，即判斷測(cè)車輛是否受到入侵。下圖，以聯(lián)合電子規(guī)劃的IDPS系統(tǒng)為例說(shuō)明入侵判定的基本過(guò)程。



IDPS系統(tǒng)的入侵判定過(guò)程涉及到三個(gè)功能組件：

檢測(cè)規(guī)則庫(kù)

IDPS系統(tǒng)基于預(yù)先生成的檢測(cè)規(guī)則庫(kù)（或知識(shí)庫(kù)）進(jìn)行入侵判定，檢測(cè)規(guī)則庫(kù)在車輛下線前預(yù)置（或OTA刷新）到車端模塊中。聯(lián)合電子的IDPS提供了獨(dú)立的檢測(cè)規(guī)則學(xué)習(xí)和生成工具，該工具可以從實(shí)車數(shù)據(jù)中學(xué)習(xí)檢測(cè)規(guī)則，也支持信息安全工程師編輯檢測(cè)規(guī)則。

數(shù)據(jù)采集模塊

該模塊實(shí)時(shí)采集車端各種智能ECU中的數(shù)據(jù)、狀態(tài)、以及發(fā)生的事件，并將這些數(shù)據(jù)發(fā)送入侵檢測(cè)算法SDK進(jìn)行分析。

入侵檢測(cè)算法SDK

該組件基于采集到的數(shù)據(jù)，依據(jù)檢測(cè)規(guī)則，通過(guò)一定算法過(guò)程來(lái)判斷車輛是否受到黑客入侵。

檢測(cè)規(guī)則庫(kù)需要占用一定存儲(chǔ)資源，入侵檢測(cè)算法SDK運(yùn)行需要高算力的資源支持，因此，這二者通常部署在車端高性能的ECU上，如中央網(wǎng)關(guān)、T-box上。數(shù)據(jù)采集模塊的部署位置依賴入侵檢測(cè)算法需要采集哪些數(shù)據(jù)。

根據(jù)所監(jiān)視保護(hù)的對(duì)象不同，IDPS系統(tǒng)分為兩個(gè)類型：網(wǎng)絡(luò)型IDPS和主機(jī)型IDPS。

網(wǎng)絡(luò)型IDPS

主要實(shí)現(xiàn)對(duì)車輛內(nèi)部網(wǎng)絡(luò)的保護(hù)，包括CAN網(wǎng)絡(luò)、LIN網(wǎng)絡(luò)、以及車載以太網(wǎng)，用于檢測(cè)針對(duì)車輛內(nèi)部網(wǎng)絡(luò)的入侵事件。該類IDPS通過(guò)對(duì)車內(nèi)網(wǎng)絡(luò)報(bào)文的采集和分析，來(lái)發(fā)現(xiàn)是否存在攻擊性報(bào)文或異常報(bào)文，進(jìn)一步識(shí)別出車輛是否受到攻擊。

主機(jī)型IDPS

對(duì)容易遭受黑客攻擊的關(guān)鍵ECU實(shí)現(xiàn)監(jiān)視和保護(hù)，比如中央網(wǎng)關(guān)、TBox等，這些關(guān)鍵ECU容易受到黑客攻擊，安全風(fēng)險(xiǎn)相對(duì)較高。該型IDPS主要對(duì)ECU內(nèi)發(fā)生的事件和狀態(tài)（外部連接、資源使用情況等）進(jìn)行采集和分析，以發(fā)現(xiàn)針對(duì)該ECU的入侵事件。

主機(jī)型IDPS和網(wǎng)絡(luò)型IDPS在采集的數(shù)據(jù)種類、入侵檢測(cè)算法、入侵檢測(cè)規(guī)則上存在明顯的區(qū)別。對(duì)具體IDPS系統(tǒng)而言，可能只覆蓋一種檢測(cè)功能（主機(jī)型IDPS或網(wǎng)絡(luò)型IDPS），或同時(shí)具有這兩種檢測(cè)功能。

4.聯(lián)合電子的車輛IDPS

聯(lián)合電子作為汽車電子產(chǎn)品和服務(wù)的供應(yīng)商，非常重視產(chǎn)品的信息安全，一直在跟蹤和研究包括車輛IDPS在內(nèi)的車輛網(wǎng)絡(luò)安全解決方案，使客戶的車輛免遭黑客攻擊，及時(shí)發(fā)現(xiàn)和響應(yīng)針對(duì)車輛的黑客攻擊行為。聯(lián)合電子的網(wǎng)關(guān)產(chǎn)品已經(jīng)為多個(gè)客戶實(shí)現(xiàn)第三方車輛IDPS的內(nèi)嵌集成。同時(shí)，基于對(duì)車輛IDPS技術(shù)的深入研究，聯(lián)合電子也可以為客戶提供網(wǎng)關(guān)產(chǎn)品配套的自研IDPS解決方案。

聯(lián)合電子自研IDPS解決方案針對(duì)聯(lián)合電子網(wǎng)關(guān)的軟硬件平臺(tái)和功能特點(diǎn)定制，便于實(shí)現(xiàn)車輛IDPS和網(wǎng)關(guān)產(chǎn)品的自動(dòng)化安全協(xié)同，在IDPS檢測(cè)出安全攻擊后，網(wǎng)關(guān)有條件協(xié)助完成網(wǎng)絡(luò)阻斷等響應(yīng)措施。

5.未來(lái)趨勢(shì)

隨著車輛的網(wǎng)聯(lián)功能及應(yīng)用日益豐富，網(wǎng)聯(lián)汽車遭受黑客攻擊的風(fēng)險(xiǎn)日益增大，網(wǎng)聯(lián)汽車的信息安全也愈發(fā)受到重視。一些汽車信息安全相關(guān)的國(guó)內(nèi)外標(biāo)準(zhǔn)和法規(guī)相繼出臺(tái)，并提出了車輛安全狀態(tài)監(jiān)視的要求。比如《GB/T 38628-2020 信息技術(shù) 汽車電子系統(tǒng)網(wǎng)絡(luò)安全指南》和UN/WP.29 R155信息安全法規(guī)中，都明確要求：聯(lián)網(wǎng)功能的汽車需要具有車輛網(wǎng)絡(luò)安全狀態(tài)的監(jiān)視（檢測(cè)）能力，實(shí)際上這相當(dāng)于要求具有IDPS系統(tǒng)的部分功能。可以預(yù)見(jiàn)，實(shí)現(xiàn)車輛安全狀態(tài)監(jiān)視和入侵分析的IDPS系統(tǒng)（或類似系統(tǒng)）會(huì)成為未來(lái)網(wǎng)聯(lián)車輛的主流網(wǎng)絡(luò)安全配置。