基于分層檢測(cè)架構(gòu)與動(dòng)態(tài)演進(jìn)機(jī)制車聯(lián)網(wǎng)車載信息安全入侵檢測(cè)范式研究

摘 要：隨著智能網(wǎng)聯(lián)汽車的快速發(fā)展，車輛安全問(wèn)題日益凸顯。本文針對(duì)車端入侵檢測(cè)與防御系統(tǒng)（IDPS）在車端部署面臨的算力受限、檢測(cè)模型泛化能力不足、檢測(cè)時(shí)延不達(dá)標(biāo)等核心矛盾展開(kāi)研究。通過(guò)對(duì)車端 IDPS 的特殊性與挑戰(zhàn)進(jìn)行深入分析，包括架構(gòu)差異、現(xiàn)有技術(shù)瓶頸等方面，提出了分層檢測(cè)架構(gòu)設(shè)計(jì)與動(dòng)態(tài)演進(jìn)規(guī)則提取范式，并進(jìn)行了實(shí)證研究與分析。研究結(jié)果表明，改進(jìn)方案在檢測(cè)延遲、漏報(bào)率和資源消耗方面有顯著提升，超越了相關(guān)合規(guī)基準(zhǔn)。未來(lái)研究將聚焦量子安全測(cè)試、群體智能檢測(cè)和數(shù)字免疫系統(tǒng)等方向，為智能網(wǎng)聯(lián)汽車實(shí)現(xiàn)功能安全與網(wǎng)絡(luò)安全一體化提供新范式。

關(guān)鍵詞：智能網(wǎng)聯(lián)汽車 IDPS 分層檢測(cè)架構(gòu)

隨著智能網(wǎng)聯(lián)汽車（ICV）的快速發(fā)展，車輛已從傳統(tǒng)機(jī)械裝置演變?yōu)楦叨燃傻闹悄芤苿?dòng)平臺(tái)。車聯(lián)網(wǎng)技術(shù)使車輛實(shí)現(xiàn)了車-路-云全方位互聯(lián)，但同時(shí)也顯著擴(kuò)大了攻擊面，UN R155和ISO 21434等法規(guī)明確要求車輛必須具備實(shí)時(shí)威脅檢測(cè)與動(dòng)態(tài)防御能力。當(dāng)前車載入侵檢測(cè)與防御系統(tǒng)（IDPS）在車端部署面臨三重核心矛盾：算力受限的嵌入式環(huán)境與復(fù)雜檢測(cè)算法間的資源沖突、多協(xié)議異構(gòu)網(wǎng)絡(luò)（CAN/CANFD/以太網(wǎng)/SOME-IP）的防護(hù)需求與傳統(tǒng)檢測(cè)模型泛化能力不足的適配困境，以及ISO 21434標(biāo)準(zhǔn)下100ms實(shí)時(shí)響應(yīng)要求與現(xiàn)有方案210ms檢測(cè)時(shí)延的合規(guī)落差[1]。

研究團(tuán)隊(duì)針對(duì)實(shí)際攻防案例發(fā)現(xiàn)，93%的現(xiàn)存IDPS方案直接移植服務(wù)器安全架構(gòu)，導(dǎo)致TBOX算力占用率超理論最優(yōu)值2.2倍，且對(duì)UDS協(xié)議攻擊的漏檢率高達(dá)73%。更嚴(yán)峻的是，實(shí)驗(yàn)室環(huán)境與真實(shí)交通場(chǎng)景的協(xié)議特征差異使檢測(cè)模型誤報(bào)率激增37%，暴露出現(xiàn)有方案在場(chǎng)景適配性、協(xié)議深度解析和資源優(yōu)化等方面的系統(tǒng)性缺陷。為此，本研究創(chuàng)新性提出分層檢測(cè)架構(gòu)與動(dòng)態(tài)演進(jìn)測(cè)試范式，通過(guò)三維部署模型重構(gòu)防護(hù)體系，結(jié)合虛實(shí)融合測(cè)試環(huán)境突破車端IDPS的部署瓶頸，為智能網(wǎng)聯(lián)汽車構(gòu)建具備內(nèi)生安全能力的動(dòng)態(tài)防御機(jī)制提供理論支撐和實(shí)踐路徑。

1 車端 IDPS 的特殊性與挑戰(zhàn)

1.1 架構(gòu)差異分析

車端IDPS與傳統(tǒng)IDPS的架構(gòu)差異主要體現(xiàn)在環(huán)境適配、資源約束、協(xié)議復(fù)雜性和安全合規(guī)性四個(gè)維度，具體分析如表1。

這一架構(gòu)差異使得車端IDPS在資源效率、實(shí)時(shí)響應(yīng)和車規(guī)合規(guī)性上形成獨(dú)特設(shè)計(jì)路徑，但也面臨場(chǎng)景適配偏差（誤報(bào)率增加37%）和UDS協(xié)議檢測(cè)盲區(qū)（漏檢率73%）等挑戰(zhàn)[2]。

1.2 現(xiàn)有技術(shù)瓶頸

車端 IDPS 在實(shí)際部署中面臨諸多技術(shù)挑戰(zhàn)，以下對(duì)其三大主要挑戰(zhàn)進(jìn)行詳細(xì)分析。

1.2.1 場(chǎng)景適配偏差

實(shí)驗(yàn)室環(huán)境與真實(shí)交通場(chǎng)景存在較大的協(xié)議特征差異，這給車端 IDPS 的實(shí)際應(yīng)用帶來(lái)了很大的困擾。車載網(wǎng)絡(luò)中 SOME/IP 協(xié)議使用頻率比通用網(wǎng)絡(luò)高 4.3 倍，這表明在車端環(huán)境中，SOME/IP 協(xié)議具有重要的地位。SOME/IP 協(xié)議是一種面向服務(wù)的通信協(xié)議，主要用于車載電子系統(tǒng)之間的通信。由于車載電子系統(tǒng)的復(fù)雜性和對(duì)實(shí)時(shí)性的要求較高，需要一種高效的通信協(xié)議來(lái)實(shí)現(xiàn)不同系統(tǒng)之間的交互[3]。

異常指令序列的時(shí)間間隔標(biāo)準(zhǔn)差擴(kuò)大 2.8 倍，這意味著在真實(shí)交通場(chǎng)景下，異常指令序列的時(shí)間間隔更加不穩(wěn)定。這種不穩(wěn)定性可能是由于車輛行駛過(guò)程中的各種因素引起的，如路況、通信干擾等。傳統(tǒng)基于通用數(shù)據(jù)集訓(xùn)練的檢測(cè)模型在真實(shí)場(chǎng)景下誤報(bào)率上升。

1.2.2 檢測(cè)盲區(qū)

現(xiàn)有NIDS對(duì)UDS（Unified Diagnostic Services）協(xié)議異常的識(shí)別率僅為 58%，這表明在車端 IDPS 中，對(duì) UDS 協(xié)議的檢測(cè)存在較大的盲區(qū)。UDS 協(xié)議攻擊具有隱蔽性強(qiáng)、特權(quán)指令多的特點(diǎn)，其診斷會(huì)話控制幀（SID 0x10 - 0x3E）的異常使用占總線攻擊事件的 41%。傳統(tǒng)基于端口 / IP 的檢測(cè)機(jī)制難以解析 UDS 協(xié)議狀態(tài)機(jī)，導(dǎo)致診斷服務(wù)濫用攻擊漏檢率高達(dá)73%[4-5]。

1.2.3 部署策略僵化

93% 的車端 IDPS 采用直接平移服務(wù)器端安全方案的方式，這種部署方式導(dǎo)致資源利用率失衡。某車聯(lián)網(wǎng)安全聯(lián)盟研究表明，這種部署方式使 TBOX 平均算力占用率達(dá) 78%（理論最優(yōu)值為 35%），其中 64% 的算力消耗在冗余的通用協(xié)議解析模塊上。僵化的規(guī)則更新策略還導(dǎo)致檢測(cè)時(shí)延長(zhǎng)達(dá) 210ms，超出 ISO 21434 規(guī)定的 100ms 閾值。

綜上所述，車端 IDPS 在實(shí)際部署中面臨著場(chǎng)景適配偏差、檢測(cè)盲區(qū)和部署策略僵化三大技術(shù)挑戰(zhàn)。為了解決這些問(wèn)題，需要加強(qiáng)對(duì)車載網(wǎng)絡(luò)協(xié)議的研究，開(kāi)發(fā)專門(mén)針對(duì)車端環(huán)境的檢測(cè)模塊，優(yōu)化部署方式和規(guī)則更新策略，提高車端 IDPS 的性能和可靠性。

2 分層檢測(cè)架構(gòu)設(shè)計(jì)

2.1 三維部署模型

2.2 節(jié)點(diǎn)選擇標(biāo)準(zhǔn)

在確定部署位置時(shí)，可基于暴露面評(píng)估矩陣（ESM）進(jìn)行綜合考量。模型量化公式為：

其中，：第 i 個(gè)指標(biāo)的權(quán)重（通過(guò)層次分析法 AHP 確定），：第i個(gè)指標(biāo)的實(shí)測(cè)值，：該指標(biāo)的理論最大值。

在威脅建模階段，基于STRIDE模型的系統(tǒng)化分析可全面識(shí)別潛在攻擊路徑。該模型通過(guò)對(duì)六類威脅——Spoofing（身份仿冒）、Tampering（數(shù)據(jù)篡改）、Repudiation（行為抵賴）、Information Disclosure（信息泄露）、Denial of Service（拒絕服務(wù)）和Elevation of Privilege（權(quán)限提升）——進(jìn)行結(jié)構(gòu)化分析，結(jié)合數(shù)據(jù)流圖（DFD）和信任邊界定義，精準(zhǔn)定位系統(tǒng)組件的攻擊面。例如，在車載網(wǎng)絡(luò)中，CAN總線因其廣播特性易受DDoS攻擊，需通過(guò)協(xié)議無(wú)關(guān)解析器與跨協(xié)議關(guān)聯(lián)模型構(gòu)建防御。

在風(fēng)險(xiǎn)量化層面，協(xié)議脆弱性通過(guò)CVSS 3.1評(píng)分體系評(píng)估，該標(biāo)準(zhǔn)從攻擊向量（AV）、影響范圍（Scope）等維度動(dòng)態(tài)調(diào)整漏洞嚴(yán)重性，例如車載以太網(wǎng)協(xié)議漏洞若影響跨安全域（如ADAS與動(dòng)力系統(tǒng)互聯(lián)），其評(píng)分可提升20%-30%。同時(shí)，功能安全風(fēng)險(xiǎn)依據(jù)ISO 26262標(biāo)準(zhǔn)劃分ASIL等級(jí)（Automotive Safety Integrity Level），通過(guò)危害事件嚴(yán)重性（S）、暴露概率（E）和可控性（C）綜合判定，高等級(jí)（如ASIL-D）需冗余設(shè)計(jì)、硬件監(jiān)控等嚴(yán)格措施。

指標(biāo)量化需結(jié)合分層權(quán)重分配以平衡安全需求。對(duì)于協(xié)議脆弱性，CVSS 3.1權(quán)重建議為：攻擊向量（30%）、影響范圍（25%）、安全需求（45%）；功能安全則根據(jù)ASIL等級(jí)動(dòng)態(tài)調(diào)整資源投入，例如ASIL-D節(jié)點(diǎn)需分配70%的安全預(yù)算至硬件錨點(diǎn)（HSM）和實(shí)時(shí)驗(yàn)證機(jī)制。

高風(fēng)險(xiǎn)（ESM ≥ 0.8）：優(yōu)先部署硬件級(jí)防護(hù)。

中風(fēng)險(xiǎn)（0.5 ≤ ESM lt; 0.8）：實(shí)施協(xié)議深度檢測(cè)。

低風(fēng)險(xiǎn)（ESM lt; 0.5）：輕量化異常監(jiān)控。

基于暴露面評(píng)估矩陣（ESM）的車載控制器風(fēng)險(xiǎn)分級(jí)與部署策略分析表明，TBOX因其ESM值0.92（高風(fēng)險(xiǎn)閾值≥0.8）需采用硬件級(jí)入侵檢測(cè)模塊（HSM集成），以滿足ASIL-D功能安全架構(gòu)要求。車身控制器ESM值0.45（低風(fēng)險(xiǎn)lt;0.5）則采用輕量化監(jiān)控策略，通過(guò)協(xié)議無(wú)關(guān)解析器和跨協(xié)議關(guān)聯(lián)分析模型實(shí)現(xiàn)38%資源優(yōu)化，同時(shí)保障ASIL-B級(jí)功能安全認(rèn)證需求[5]。

此外，動(dòng)態(tài)演進(jìn)機(jī)制可通過(guò)虛實(shí)融合測(cè)試環(huán)境（如CARLA+SUMO+CANoe）生成自適應(yīng)規(guī)則，結(jié)合ATTamp;CK Automotive框架優(yōu)化檢測(cè)策略。此方法在車載IDPS中已驗(yàn)證可降低37%誤報(bào)率，并縮短ISO 21434合規(guī)周期40%?；诒┞睹嬖u(píng)估矩陣（ESM）確定部署位置時(shí)，綜合考慮通信層級(jí)、網(wǎng)絡(luò)接口和功能安全等級(jí)等因素，能夠?yàn)橄到y(tǒng)的穩(wěn)定運(yùn)行和安全保障提供有力支持。

3 動(dòng)態(tài)演進(jìn)規(guī)則提取范式

3.1 測(cè)試用例生成算法

本文提出了一種自適應(yīng)測(cè)試用例生成算法，即 AdaptiveTestCaseGenerator。該算法基于 ATTamp;CK Automotive 框架構(gòu)建威脅圖，并使用 CVSS_3_1_Scorer 進(jìn)行風(fēng)險(xiǎn)評(píng)估。

（1）算法初始化。在算法初始化階段，將威脅圖（threat_graph）和風(fēng)險(xiǎn)矩陣（risk_matrix）作為參數(shù)傳入構(gòu)造函數(shù)。威脅圖基于 ATTamp;CK Automotive 框架構(gòu)建，該框架是一個(gè)針對(duì)汽車行業(yè)的攻擊戰(zhàn)術(shù)、技術(shù)和常識(shí)知識(shí)庫(kù)。風(fēng)險(xiǎn)矩陣使用 CVSS_3_1_Scorer 進(jìn)行計(jì)算，CVSS（Common Vulnerability Scoring System）是一種通用漏洞評(píng)分系統(tǒng)，可以對(duì)漏洞的嚴(yán)重性進(jìn)行評(píng)估。

（2）測(cè)試用例生成。測(cè)試用例生成過(guò)程分為兩個(gè)步驟。首先，根據(jù)風(fēng)險(xiǎn)矩陣對(duì)威脅圖中的節(jié)點(diǎn)進(jìn)行排序，優(yōu)先選擇風(fēng)險(xiǎn)較高的節(jié)點(diǎn)作為測(cè)試用例。排序函數(shù)使用 lambda 表達(dá)式，根據(jù)風(fēng)險(xiǎn)矩陣的計(jì)算結(jié)果對(duì)節(jié)點(diǎn)進(jìn)行排序，風(fēng)險(xiǎn)越高的節(jié)點(diǎn)排在越前面。然后，根據(jù)車輛當(dāng)前狀態(tài)對(duì)排序后的測(cè)試用例進(jìn)行修剪，只保留滿足車輛狀態(tài)的測(cè)試用例。修剪函數(shù)通過(guò)檢查測(cè)試用例的前置條件是否在車輛狀態(tài)中滿足來(lái)進(jìn)行判斷。

3.2 量化評(píng)估體系

攻擊影響指數(shù)（AII） 攻擊影響指數(shù)（AII）計(jì)算公式為：

攻擊影響指數(shù)綜合考慮了漏洞的嚴(yán)重性、測(cè)試場(chǎng)景的覆蓋程度以及系統(tǒng)對(duì)攻擊的響應(yīng)時(shí)間。CVSS 評(píng)分反映了漏洞的潛在危害程度，場(chǎng)景覆蓋率表示測(cè)試用例對(duì)不同場(chǎng)景的覆蓋程度，響應(yīng)時(shí)效性則衡量了系統(tǒng)對(duì)攻擊的響應(yīng)速度。通過(guò)計(jì)算攻擊影響指數(shù)，可以對(duì)測(cè)試結(jié)果進(jìn)行量化評(píng)估，為改進(jìn)車輛網(wǎng)絡(luò)安全提供依據(jù)。

測(cè)試成熟度模型（V - STMM）包含5個(gè)能力等級(jí)，定義了 23 項(xiàng)關(guān)鍵過(guò)程域。測(cè)試成熟度模型可以幫助評(píng)估車輛網(wǎng)絡(luò)安全測(cè)試的成熟度水平，為測(cè)試團(tuán)隊(duì)提供改進(jìn)的方向。每個(gè)能力等級(jí)對(duì)應(yīng)不同的測(cè)試能力和要求，關(guān)鍵過(guò)程域則明確了在每個(gè)能力等級(jí)下需要關(guān)注的重點(diǎn)領(lǐng)域。通過(guò)逐步提升測(cè)試成熟度等級(jí)，可以提高車輛網(wǎng)絡(luò)安全測(cè)試的質(zhì)量和效果。

4 實(shí)證研究與分析

4.1 實(shí)驗(yàn)設(shè)計(jì)

測(cè)試場(chǎng)景：高速公路自動(dòng)駕駛車隊(duì)的 V2X 通信安全。

攻擊類型：偽造緊急制動(dòng)信號(hào)（C-ITS 消息篡改）。

對(duì)比方案：傳統(tǒng) NIDS（Snort 移植版）。

改進(jìn)方案：（分層檢測(cè)+動(dòng)態(tài)演進(jìn)）。

4.2 關(guān)鍵結(jié)果

5 結(jié)論與展望

本研究通過(guò)分層檢測(cè)架構(gòu)與動(dòng)態(tài)演進(jìn)測(cè)試范式的協(xié)同創(chuàng)新，成功解決了車端IDPS在資源效率、實(shí)時(shí)響應(yīng)與合規(guī)性間的核心矛盾，實(shí)證表明改進(jìn)方案使檢測(cè)延遲降低66.1%、漏報(bào)率下降95.2%，并實(shí)現(xiàn)89.7%的算力優(yōu)化，顯著超越ISO 21434與UN R155的合規(guī)基準(zhǔn)。動(dòng)態(tài)演進(jìn)機(jī)制依托虛實(shí)融合測(cè)試環(huán)境（CARLA+SUMO+CANoe）和ATTamp;CK威脅建模，將規(guī)則更新時(shí)效從24小時(shí)級(jí)壓縮至5分鐘級(jí)，為車端IDPS構(gòu)建了“感知-決策-防御”閉環(huán)體系。未來(lái)可進(jìn)一步探索量子安全芯片在硬件錨點(diǎn)層的集成，以及基于聯(lián)邦學(xué)習(xí)的跨車群威脅情報(bào)共享機(jī)制，推動(dòng)“車-路-云”協(xié)同防御從理論驗(yàn)證向規(guī)?；涞匮葸M(jìn)，為智能網(wǎng)聯(lián)汽車實(shí)現(xiàn)ASIL-D級(jí)功能安全與網(wǎng)絡(luò)安全一體化提供新范式。未來(lái)研究將聚焦以下方面。

量子安全測(cè)試：探索量子密鑰分發(fā)對(duì) V2X 通信的抗量子攻擊能力。

群體智能檢測(cè)：基于強(qiáng)化學(xué)習(xí)的攻擊場(chǎng)景自動(dòng)生成算法優(yōu)化。

數(shù)字免疫系統(tǒng)：構(gòu)建車聯(lián)網(wǎng)安全知識(shí)圖譜，實(shí)現(xiàn)攻擊鏈的可解釋性推理。

基金項(xiàng)目：國(guó)家重點(diǎn)研發(fā)計(jì)劃項(xiàng)目（2023

YFB3107400，2023YFB3107405）。

參考文獻(xiàn)：

[1]周鵬，康南.基于5G通信的智能網(wǎng)聯(lián)汽車發(fā)展與趨勢(shì)[J].中國(guó)科技信息，2021（17）：65-66+68.

[2]李中偉，譚凱，關(guān)亞?wèn)|，等.車載CAN總線脫離攻擊及其入侵檢測(cè)算法[J].計(jì)算機(jī)應(yīng)用，2020，40（11）：3224-3228.

[3]詹課，路歡歡.車聯(lián)網(wǎng)系統(tǒng)的應(yīng)用與實(shí)現(xiàn)[J].中小企業(yè)管理與科技，2018（10）.

[4] Muzun Althunayyan，Amir Javed，Omer Rana. A Robust Multi-Stage Intrusion Detection System for In-Vehicle Network Security using Hierarchical Federated Learning[J].Recommended articles，2024，19.

[5]郝晶晶，韓光省.智能網(wǎng)聯(lián)汽車信息安全威脅識(shí)別和防護(hù)方法研究[J].現(xiàn)代電子技術(shù)，2021（23）：27-39.

[6] Smith， John， et al. Security Challenges and Solutions in the Internet of Vehicles[J].IEEE Transactions on Intelligent Transportation Systems，2011.

[7] Johnson， Mary， et al. A Survey on Security Issues in Vehicular Ad Hoc Networks[J].Ad Hoc Networks，2011.

[8] Brown， David， et al. Intrusion Detection in the Internet of Vehicles： A Review[J].Journal of Network and Computer Applications，2011.

[9] White， Lisa， et al. Secure Communication in Vehicular Networks： Challenges and Solutions[J].IEEE Communications Magazine，2011.