모듈 ara::idsm — Intrusion Detection System Manager

Intrusion Detection System Manager는 중앙 플랫폼 서비스로서 [SWS_AIDSM_10101] AUTOSAR_AP_EXP_SWArchitecture 124쪽 클래스의 표준화된 인스턴스를 통해 Functional Cluster 및 애플리케이션의 보안 관련 이벤트를 수집합니다. 수신된 보고는 타임스탬프 및 컨텍스트 데이터로 보강되고, 필터링되어 자격을 갖춘 보안 이벤트로서 인가된 수신자에게 전달될 수 있습니다 [SWS_AIDSM_10800]. 모든 인터페이스 및 이벤트 ID 연결에는 AUTOSAR 매니페스트를 통한 일관된 모델링이 필요합니다 AUTOSAR_AP_TPS_ManifestSpecification 257쪽.

자세히 ›

Intrusion Detection System Manager(IdsM)는 AUTOSAR Adaptive Platform에서 보안 관련 이벤트의 집계, 필터링 및 평가를 위한 중앙 데몬 기반 Functional Cluster 역할을 수행합니다 AUTOSAR_AP_EXP_PlatformDesign 95쪽. Communication Management, Firewall, Diagnostic Management와 같은 Functional Cluster뿐만 아니라 애플리케이션별 컴포넌트도 [SWS_AIDSM_10101] 클래스의 표준화된 인스턴스를 통해 IdsM으로 보안 인시던트를 스레드 안전하게 보고합니다 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 13쪽.

컨텍스트 다이어그램: Functional Cluster 및 애플리케이션의 보안 이벤트를 위한 중앙 싱크로서 IdsM 데몬의 임베딩. 출처: AUTOSAR_AP_EXP_SWArchitecture 124쪽, AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 13쪽.

ReportEvent을(를) 통한 이벤트 보고는 단순 카운터부터 명시적 타임스탬프, 버전 비지정 또는 버전 지정 컨텍스트 데이터에 이르기까지 가변적인 상세 수준을 지원합니다 [SWS_AIDSM_10302], [SWS_AIDSM_10307]. 동적 보강을 위해 애플리케이션을 [SWS_AIDSM_10400] 및 [SWS_AIDSM_10500]을(를) 통해 타임스탬프 또는 추가 컨텍스트 바이트 제공자로 연계할 수 있습니다 AUTOSAR_AP_EXP_SWArchitecture 122쪽. 내부 필터 체인의 평가 후 IdsM은 [SWS_AIDSM_10800] 클래스의 알림 콜백을 통해 한정된 이벤트를 등록된 수신자에게 전달합니다 [SWS_AIDSM_10807].

시퀀스 다이어그램: EventReporter를 통한 센서 컴포넌트의 보안 이벤트 동기 보고. 출처: AUTOSAR_AP_EXP_SWArchitecture 232쪽, [SWS_AIDSM_10101].

포트 구성 및 이벤트 정의 매핑은 매니페스트 내의 표준화된 메타모델 요소를 통해 이루어집니다 AUTOSAR_AP_TPS_ManifestSpecification 257쪽. 또한 개별 이벤트의 보고 동작은 런타임에 [SWS_AIDSM_10600]을(를) 통해 제어할 수 있으며, 유효하지 않은 이벤트 ID는 오류 도메인 [SWS_AIDSM_10706]을(를) 통해 오류 코드 kUnknownEventId(으)로 신호 처리됩니다 [SWS_AIDSM_10204], [SWS_AIDSM_10602].

자세히 ›

Intrusion Detection System Manager의 역할 및 시스템 경계

Intrusion Detection System Manager(IdsM)는 AUTOSAR Adaptive Platform에서 보안 관련 이벤트(Security Events)의 수집, 사전 필터링 및 한정을 위한 중앙 플랫폼 인스턴스를 구성합니다 AUTOSAR_AP_EXP_PlatformDesign 95쪽. ISO/SAE 21434의 사이버 보안 요구사항에 따라 IdsM은 POSIX 기반 제어기에서 독립적인 백그라운드 서비스(daemon-based Functional Cluster) 역할을 수행합니다 AUTOSAR_AP_EXP_SWArchitecture 124쪽. 핵심 임무는 이상 징후 및 잠재적 공격 시도를 수집하고, 속도 제한 또는 임계값과 같은 구성된 규칙을 기반으로 평가하여 한정된 보안 이벤트(Qualified Security Events)로 취합하는 것입니다 AUTOSAR_EXP_SWArchitecture 97쪽.

IdsM의 아키텍처는 다른 Functional Cluster와의 상호 운용성을 고려하여 설계되었습니다. Communication Management AUTOSAR_AP_SWS_CommunicationManagement 34쪽, Firewall AUTOSAR_AP_SWS_Firewall 11쪽, Diagnostic Management AUTOSAR_AP_SWS_Diagnostics 67쪽와 같은 플랫폼 서비스 및 애플리케이션별 프로세스는 보안 센서 역할을 수행합니다 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 13쪽. 다음 개요는 Adaptive Platform의 런타임 환경에 IdsM 데몬이 임베딩되는 형태를 보여줍니다.

컨텍스트 다이어그램: Functional Cluster 및 애플리케이션의 보안 이벤트를 위한 중앙 싱크로서 IdsM 데몬의 임베딩. 출처: AUTOSAR_AP_EXP_SWArchitecture 124쪽, AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 13쪽, AUTOSAR_AP_EXP_PlatformDesign 95쪽.

EventReporter를 통한 이벤트 보고 및 상호작용 형태

보안 인시던트 전송을 위한 기본 진입 인터페이스는 [SWS_AIDSM_10101] 클래스에 의해 구현됩니다. 보고 엔티티는 생성자 [SWS_AIDSM_10301]을(를) 통해 ara::core::InstanceSpecifier을(를) 사용하여 정의된 포트를 지정함으로써 이 클래스를 스레드 안전하게 인스턴스화합니다. 이를 통해 매니페스트에 정의된 SecurityEventReportInterface(으)로의 연결이 생성됩니다 AUTOSAR_AP_TPS_ManifestSpecification 257쪽. 실제 전송은 동기 메서드 ReportEvent의 오버로드된 변형들을 통해 수행되며, 이들 각각은 스레드 안전하게 실행될 수 있습니다 [SWS_AIDSM_10302].

이벤트의 유형과 가용한 센서 데이터에 따라 인터페이스는 세분화된 보고 형태를 제공합니다. 기본 메서드는 추가 메타데이터 없이 [SWS_AIDSM_10203] 타입의 반복 횟수(기본값 1)만을 전송합니다 [SWS_AIDSM_10302]. 시간에 민감한 작업의 경우 센서별 [SWS_AIDSM_10202] 타입의 타임스탬프를 직접 전달할 수 있습니다 [SWS_AIDSM_10303]. 또한 [SWS_AIDSM_10201] 타입의 바이트 범위(byte span)로 변경 불가능한 페이로드를 단독으로 [SWS_AIDSM_10304] 전달하거나 타임스탬프와 결합하여 전달할 수 있습니다 [SWS_AIDSM_10305]. 정형화된 이벤트 형식의 경우 컨텍스트 데이터 범위와 16비트 버전 표시자로 구성된 값 쌍을 나타내는 [SWS_AIDSM_10206] 타입의 버전 지정 컨텍스트 데이터를 포함하는 오버로드가 존재하며 [SWS_AIDSM_10306], 선택적으로 명시적 타임스탬프가 추가될 수 있습니다 [SWS_AIDSM_10307].

이 보고 경로의 전형적인 시나리오는 TCP/IP 스택 및 Firewall에 의한 허용되지 않은 네트워크 패킷의 폐기입니다. 운영체제는 차단된 패킷을 Firewall 데몬에 보고하고, Firewall 데몬은 즉시 ReportEvent을(를) 호출합니다 AUTOSAR_AP_EXP_SWArchitecture 232쪽. 다음 시퀀스 다이어그램은 이 동기식 보고 프로세스를 보여줍니다.

시퀀스 다이어그램: EventReporter를 통한 센서 컴포넌트의 보안 이벤트 동기 보고. 출처: AUTOSAR_AP_EXP_SWArchitecture 232쪽, [SWS_AIDSM_10101], [SWS_AIDSM_10302].

프로바이더 인터페이스를 통한 확장 컨텍스트 데이터 및 타임스탬프

보고 프로세스에 복잡한 시간 조회나 정적 컨텍스트 정보의 부담을 주지 않기 위해, 이 아키텍처는 프로바이더 인터페이스를 통한 제어 역전(Inversion of Control)을 지원합니다 AUTOSAR_AP_EXP_SWArchitecture 122쪽. 애플리케이션은 추상 클래스 [SWS_AIDSM_10400]에서 파생되어 타임스탬프 서비스 제공자 역할을 수행할 수 있습니다. 생성자 [SWS_AIDSM_10401]을(를) 통해 인스턴스화한 후, 애플리케이션은 Offer()을(를) 사용하여 서비스를 활성화합니다 [SWS_AIDSM_10408]. 이 시점부터 IdsM은 필요에 따라 순수 가상 메서드 GetTimestamp()을(를) 호출하여 현재 시간 값을 조회할 수 있습니다 [SWS_AIDSM_10407]. 제공은 StopOffer()을(를) 통해 종료됩니다 [SWS_AIDSM_10409].

유사한 방식으로 기본 클래스 [SWS_AIDSM_10500]은(는) 컨텍스트 데이터의 동적 보강 또는 수정을 가능하게 합니다. 생성자는 InstanceSpecifier 외에도 추가 바이트의 크기 사양과 원본 컨텍스트 데이터의 오프셋을 필요로 합니다 [SWS_AIDSM_10501]. Offer() [SWS_AIDSM_10507]을(를) 통한 승인 후, IdsM 데몬은 이벤트 수신 시 ModifyContextData 메서드를 호출합니다 [SWS_AIDSM_10509]. 이때 쓰기 가능한 바이트 범위가 전달되며, 애플리케이션은 여기에 수정된 데이터를 작성하고 결과 데이터 크기를 ara::core::Result<std::size_t>(으)로 보고합니다 [SWS_AIDSM_10509]. StopOffer()을(를) 통해 추가 수정 요청의 수락이 비활성화됩니다 [SWS_AIDSM_10508].

시퀀스 다이어그램: TimestampProvider 및 ContextDataProvider를 통한 보안 이벤트 보강 시의 수명 주기 및 제어 역전(Inversion of Control) 흐름. 출처: AUTOSAR_AP_EXP_SWArchitecture 122쪽, [SWS_AIDSM_10408], [SWS_AIDSM_10509].

한정된 보안 이벤트 수신 및 작동 제어

IdsM이 수신 이벤트를 처리하고 필터 규칙을 기반으로 한정(qualify)한 후, 인가된 Adaptive Application은 한정된 이벤트의 존재에 대해 통지를 받을 수 있습니다 AUTOSAR_AP_EXP_SWArchitecture 123쪽. 이를 위해 포트별 생성자를 통해 인스턴스화되는 [SWS_AIDSM_10800] 클래스가 사용됩니다 [SWS_AIDSM_10801]. Offer() [SWS_AIDSM_10808] 호출 후 IdsM은 해당 콜백을 호출하여 애플리케이션에 알림을 전달합니다. 버전이 지정되지 않은 데이터가 준비된 경우, 선택적 컨텍스트 및 선택적 타임스탬프와 함께 OnEventQualification을(를) 통해 호출됩니다 [SWS_AIDSM_10807]. 버전 지정 컨텍스트 데이터가 존재하는 경우 데몬은 오버로드된 인터페이스 [SWS_AIDSM_10810]을(를) 처리합니다. 알림은 StopOffer()을(를) 통해 종료될 수 있습니다 [SWS_AIDSM_10809].

시퀀스 다이어그램: QualifiedEventsReceiver를 통한 반응 애플리케이션의 한정된 보안 이벤트 수신. 출처: AUTOSAR_AP_EXP_SWArchitecture 123쪽, [SWS_AIDSM_10801], [SWS_AIDSM_10808], [SWS_AIDSM_10807].

이벤트별 보고 동작을 동적으로 제어하기 위해 생성자 [SWS_AIDSM_10601]을(를) 통해 초기화되는 [SWS_AIDSM_10600] 클래스가 제공됩니다. GetReportingMode을(를) 통해 [SWS_AIDSM_10205] 타입의 이벤트 ID에 대한 현재 모드를 조회할 수 있습니다 [SWS_AIDSM_10602]. SetReportingMode을(를) 사용하여 런타임에 모드를 수정할 수 있습니다 [SWS_AIDSM_10603]. 열거형 [SWS_AIDSM_10207]은(는) 완전 비활성화(kOff)부터 기본 및 상세 수집(kBrief, kDetailed), 내부 필터 체인의 의도적 우회(kBriefBypassingFilters, kDetailedBypassingFilters)에 이르기까지 가용한 모드들을 정의합니다 [SWS_AIDSM_10207].

상태 다이어그램: ReportingModeType에 따른 이벤트 처리의 보고 및 필터 모드. 출처: [SWS_AIDSM_10207], [SWS_AIDSM_10602], [SWS_AIDSM_10603].

매니페스트 모델링, 포트 바인딩 및 배포

전체 시스템으로의 모든 인터페이스 통합은 AUTOSAR 매니페스트를 통해 선언적으로 수행됩니다. 모든 IdsM 관련 포트 인터페이스는 메타모델에서 공통 기본 클래스 IdsmAbstractPortInterface에서 파생됩니다 AUTOSAR_AP_TPS_ManifestSpecification 257쪽. 보고는 SecurityEventReportInterface을(를) 통해 모델링되며, 이는 SecurityEventReportToSecurityEventDefinitionMapping을(를) 통해 정형화된 SecurityEventDefinition와(과) 연결됩니다 AUTOSAR_AP_TPS_ManifestSpecification 146쪽. 이러한 명시적 분리를 통해 표준화된 소프트웨어 컴포넌트를 재사용하고 프로젝트별 이벤트 ID를 구성 수준에서 비로소 할당할 수 있습니다 TPS_ManifestSpecification 146쪽.

배포 수준에서 다양한 프로바이더와 리시버는 UploadableDeploymentElement(으)로 매핑됩니다 TPS_ManifestSpecification 881쪽. 여기에는 IdsmTimestampProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 664쪽, IdsmContextProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 665쪽, IdsmReportingModeProviderMapping AUTOSAR_AP_TPS_ManifestSpecification 667쪽 및 IdsmQualifiedEventReceiverMapping AUTOSAR_AP_TPS_ManifestSpecification 669쪽이(가) 포함됩니다. 이러한 메타클래스는 모듈식 플랫폼 인스턴스 IdsPlatformInstantiation을(를) 각 프로세스(Process) 및 대상 포트(PPortPrototype 또는 RPortPrototype)와 연결합니다 TPS_ManifestSpecification 664쪽. Functional Cluster의 경우 직접적인 프로세스 바인딩 없이 플랫폼 이벤트를 표준에 따라 매핑할 수 있는 특수 매핑 FunctionalClusterToSecurityEventDefinitionMapping도 존재합니다 AUTOSAR_AP_TPS_ManifestSpecification 873쪽.

오류 발생 시 동작 및 진단 처리

IdsM 모듈 내의 오류 상황은 표준화된 AUTOSAR 오류 처리 개념에 따라 오류 도메인 [SWS_AIDSM_10706]을(를) 통해 처리됩니다. 이는 전역 함수 GetIdsmErrorDomain()을(를) 통해 참조됩니다 [SWS_AIDSM_10702]. 구체적인 API 오류는 열거형 [SWS_AIDSM_10204](별칭 [SWS_AIDSM_10707])으로 표현됩니다. 예를 들어 보고 모드를 조회하거나 설정할 때 알 수 없는 이벤트 ID가 발생하는 경우, 작업 GetReportingMode 및 SetReportingMode은(는) 코드 IdsmErrc::kUnknownEventId을(를) 포함하는 오류 상태의 ara::core::Result을(를) 반환합니다 [SWS_AIDSM_10602], [SWS_AIDSM_10603].

구조화된 오류 객체로 변환하기 위해 헬퍼 함수 MakeErrorCode [SWS_AIDSM_10703]이(가) 사용됩니다. 오류 도메인은 도메인 이름 [SWS_AIDSM_10710] 및 설명 텍스트 메시지 [SWS_AIDSM_10711]을(를) 쿼리하기 위한 인터페이스를 구현합니다. 시스템에서 예외가 활성화되어 있는 경우, 오류 코드는 ThrowAsException [SWS_AIDSM_10712]을(를) 통해 [SWS_AIDSM_10704](별칭 [SWS_AIDSM_10708]) 유형의 예외로 발생할 수 있으며, 이 예외의 생성자는 기본이 되는 ErrorCode을(를) 캡슐화합니다 [SWS_AIDSM_10705].

상세 참고 자료 및 사양 참조

다음 구성은 모듈의 핵심 사양 문서 및 아키텍처 항목을 요약합니다:

• 이벤트 수신 및 센서 보고: 사양 [SWS_AIDSM_10101] 및 [SWS_AIDSM_10302]부터 [SWS_AIDSM_10307]까지는 EventReporter의 C++ 시그니처를 정의합니다. 플랫폼 센서에 의한 아키텍처적 임베딩은 AUTOSAR_AP_SWS_IntrusionDetectionSystemManager 13쪽 및 AUTOSAR_AP_EXP_SWArchitecture 121쪽에 제시되어 있습니다.
• 플랫폼 내부 통합: Communication Management(AUTOSAR_AP_SWS_CommunicationManagement 34쪽), Firewall(AUTOSAR_AP_SWS_Firewall 11쪽) 및 Diagnostic Management(AUTOSAR_AP_SWS_Diagnostics 67쪽)와 같은 다른 기능 클러스터의 종속성 및 사용 패턴은 보안 수집기로서 IdsM의 보편적 역할을 입증합니다.
• 추가 데이터 및 타임스탬프 프로바이더: 사양 [SWS_AIDSM_10400] 및 [SWS_AIDSM_10500]은(는) 아키텍처 다이어그램 AUTOSAR_AP_EXP_SWArchitecture 122쪽에 의해 보완되며, 타임스탬프 및 컨텍스트 수정을 위한 제공 패턴을 규정합니다.
• 자격을 갖춘 이벤트 수신 및 작동 모드: 요구사항 [SWS_AIDSM_10800] 및 [SWS_AIDSM_10600]은(는) AUTOSAR_AP_EXP_SWArchitecture 123쪽에 예시된 대로 송신 통신 및 런타임 구성을 설명합니다.
• 매니페스트 및 배포 모델링: AUTOSAR_AP_TPS_ManifestSpecification 257쪽의 메타모델 규칙 및 AUTOSAR_AP_TPS_ManifestSpecification 664쪽부터 AUTOSAR_AP_TPS_ManifestSpecification 669쪽까지의 배포 매핑은 설계 시간 및 로드 시간에서의 일관된 인스턴스화와 바인딩을 보장합니다.
• 오류 처리: 정의 [SWS_AIDSM_10204] 및 [SWS_AIDSM_10706]은(는) 유효하지 않은 이벤트 식별자에 대한 오류 처리의 기반을 형성합니다.