1. 研發背景

智能網聯汽車已不再是孤立的嵌入式系統，信息安全問題愈發受到關注。中國及國際相關機構已出臺多項標準與法規，對汽車網絡安全進行規范，其中多項法規均對車載網絡安全監控提出了明確要求。

入侵檢測系統（IDS）可依據既定的安全策略，對網絡、系統及其運行狀態進行監控，及時發現各類攻擊企圖、攻擊行為或攻擊后果，以此保障數據的保密性、完整性和可用性。當車載網絡遭遇惡意軟件入侵、數據篡改或注入攻擊時，汽車入侵檢測系統能夠通過分析車載網絡流量及系統狀態識別攻擊行為，并生成安全告警信息。

在汽車領域，入侵檢測系統可根據檢測目標分為兩類，即網絡入侵檢測系統和主機入侵檢測系統。

網絡入侵檢測系統可對控制器局域網總線、車載以太網、無線局域網、藍牙等車載網絡的數據進行監控，目前已有諸多研究采用了基于規則和基于人工智能的檢測方法。例如，有相關研究提出了一種混合式多層 SOME/IP 入侵檢測系統，其中基于規則的模塊負責檢測 SOME/IP 協議頭、SOME/IP 服務發現消息、消息發送間隔及通信流程，而人工智能模塊則對 SOME/IP 協議的有效載荷進行檢測。從部署成本角度考量，基于規則的入侵檢測系統常部署于車載控制器中，利用專家知識和車載網絡數據庫構建檢測規則集。

主機入侵檢測系統則對控制器的操作系統進行監控。隨著汽車網聯化、智能化程度的不斷提升，車載控制器已不再局限于微控制器，Linux、安卓、QNX 等操作系統也越來越多地應用于各類域控制器中。片上系統為汽車賦予了強大的功能，卻也帶來了新的攻擊途徑。主機入侵檢測系統可對操作系統的資源、文件進行監控，并開展惡意軟件掃描。

當檢測到車輛內出現異常攻擊行為后，系統生成安全日志并上傳至車輛安全運營中心（VSOC），這為攻擊溯源和網聯汽車安全狀態監控提供了有效手段。

2. AUTOSAR 入侵檢測系統架構

汽車開放系統架構（AUTOSAR）是一個致力于制定汽車電子軟件標準的聯盟，由全球車企、供應商、半導體企業和軟件企業聯合成立，旨在為汽車行業打造一套開放、標準化的軟件架構。該架構不僅便于車載電子軟件的交換與升級，也為管理日益復雜的車載電子和軟件系統奠定了基礎。

汽車入侵檢測系統的 AUTOSAR 架構主要包含安全探測模塊、管理模塊（IdsM）、安全事件存儲模塊（SEM）和上報模塊（IdsR）四大核心組件。

（1）安全探測模塊

安全探測模塊負責檢測網絡流量和系統事件中的潛在網絡威脅，一旦發現異常，便會將安全事件（SEv）發送至管理模塊。常見的探測模塊包括控制器局域網入侵檢測模塊、以太網入侵檢測模塊和主機入侵檢測模塊。

（2）管理模塊

管理模塊接收到安全事件后，會通過一組過濾鏈對事件進行處理，該過濾鏈包含阻塞過濾器、采樣過濾器、聚合過濾器和限流過濾器，經處理后生成合規安全事件（QSEv）。管理模塊會將合規安全事件發送至入侵檢測系統上報模塊，同時將其存儲至安全事件存儲模塊。

（3）上報模塊

上報模塊（IdsR）負責將合規安全事件（QSEv）上傳至車輛安全運營中心。上報模塊與管理模塊之間傳輸的安全事件消息，其事件幀最小長度為 8 字節，包含協議版本、協議頭、管理模塊實例標識、探測模塊實例標識、事件標識、事件計數及保留字段，同時還包含時間戳、上下文數據和簽名三個可選字段。

3. 入侵檢測系統測試方法

入侵檢測系統的測試可分為兩個階段：

第一，對入侵檢測系統軟件進行功能測試，驗證軟件針對給定輸入能否返回預期結果；

第二，開展滲透測試，模擬常見的網絡攻擊手段，驗證入侵檢測系統的檢測能力。

人工開展滲透測試存在諸多難點：不僅要求測試人員具備扎實的網絡安全專業知識，攻擊數據的生成和測試結果的評估過程也復雜且耗時。為提升測試效率，行業通常借助滲透測試工具搭建自動化的入侵檢測系統測試環境，實現對入侵檢測系統的自動化功能測試。針對網絡入侵檢測系統的滲透測試，設計的測試流程如下：

1. 生成攻擊數據包；

2. 向被測入侵檢測系統發送攻擊數據包，并監聽合規安全事件；

3. 被測系統進行實時檢測，若發現異常，則向測試設備發送合規安全事件；

4. 若滲透測試工具接收到正確的合規安全事件，測試通過；反之，則測試失敗。

在這一測試流程中，攻擊數據包的生成是核心環節。已有相關研究對各類數據包生成工具及功能進行了總結，但這類工具大多缺乏對 SOME/IP、統一診斷服務、車載以太網診斷等汽車專用協議的支持，無法充分滿足車載入侵檢測系統的測試需求。

BlitzFuzz 是一款專為工業網絡協議打造的滲透模糊測試工具，支持對控制器局域網、統一診斷服務、SOME/IP、車載以太網診斷等常見汽車協議的消息進行仿真和解析。該工具提供滲透測試用例包、合規測試用例包及模糊測試功能，同時支持用戶自定義測試用例，可靈活滿足不同的滲透測試需求，為入侵檢測系統的自動化功能測試提供了便利。

以以太網入侵檢測系統的測試為例，被測設備通過以太網與 BlitzFuzz 工具相連，測試工程師在工具前端編寫自定義的入侵檢測系統測試用例，包括調用工具的傳輸控制協議端口掃描攻擊模塊發送端口掃描數據包、實現以太網接收回調函數以驗證被測設備是否發送合規安全事件等。選定并運行測試用例后，可在工具界面直接查看測試報告。