module ara::idsm — Intrusion Detection System Manager

De Intrusion Detection System Manager registreert als centrale platformservice beveiligingsrelevante gebeurtenissen van functionele clusters en applicaties via gestandaardiseerde instanties van de klasse [SWS_AIDSM_10101] AUTOSAR_AP_EXP_SWArchitecture p. 124. Binnenkomende meldingen kunnen worden verrijkt met tijdstempels en contextgegevens, gefilterd en als gekwalificeerde beveiligingsgebeurtenissen worden doorgestuurd naar geautoriseerde ontvangers [SWS_AIDSM_10800]. De koppeling van alle interfaces en event-ID's vereist een consistente modellering via het AUTOSAR-manifest AUTOSAR_AP_TPS_ManifestSpecification p. 257.

meer ›

De Intrusion Detection System Manager (IdsM) fungeert in het AUTOSAR Adaptive Platform als centrale daemon-gebaseerde Functional Cluster voor de aggregatie, filtering en evaluatie van beveiligingsrelevante gebeurtenissen AUTOSAR_AP_EXP_PlatformDesign p. 95. Zowel functionele clusters zoals Communication Management, Firewall en Diagnostic Management als applicatiespecifieke componenten melden beveiligingsincidenten thread-safe via gestandaardiseerde instanties van de klasse [SWS_AIDSM_10101] aan de IdsM AUTOSAR_AP_SWS_IntrusionDetectionSystemManager p. 13.

Contextdiagram: Inbedding van de IdsM-daemon als centrale collector voor beveiligingsgebeurtenissen uit functionele clusters en applicaties. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 124, AUTOSAR_AP_SWS_IntrusionDetectionSystemManager p. 13.

De eventmelding via ReportEvent ondersteunt variabele detailniveaus, van eenvoudige tellers via expliciete tijdstempels tot aan niet-geversioneerde of geversioneerde contextgegevens [SWS_AIDSM_10302], [SWS_AIDSM_10307]. Voor dynamische verrijking kunnen applicaties via [SWS_AIDSM_10400] en [SWS_AIDSM_10500] worden geïntegreerd als providers voor tijdstempels of aanvullende contextbytes AUTOSAR_AP_EXP_SWArchitecture p. 122. Na de evaluatie van interne filterketens stuurt de IdsM gekwalificeerde gebeurtenissen via notificatie-callbacks van de klasse [SWS_AIDSM_10800] door naar geregistreerde ontvangers [SWS_AIDSM_10807].

Sequentiediagram: Synchroon melden van een beveiligingsgebeurtenis door een sensorcomponent via EventReporter. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 232, [SWS_AIDSM_10101].

De configuratie van de poorten en de toewijzing van eventdefinities vindt plaats via gestandaardiseerde metamodelelementen in het manifest AUTOSAR_AP_TPS_ManifestSpecification p. 257. Het meldgedrag van individuele events kan bovendien tijdens runtime via [SWS_AIDSM_10600] worden gestuurd, waarbij ongeldige event-ID's via het foutdomein [SWS_AIDSM_10706] met de foutcode kUnknownEventId worden gesignaleerd [SWS_AIDSM_10204], [SWS_AIDSM_10602].

meer ›

Rol en systeemgrenzen van de Intrusion Detection System Manager

De Intrusion Detection System Manager (IdsM) vormt de centrale platforminstantie voor de registratie, voorfiltering en kwalificatie van beveiligingsrelevante gebeurtenissen (Security Events) op een AUTOSAR Adaptive Platform AUTOSAR_AP_EXP_PlatformDesign p. 95. Conform de cybersecurity-eisen van ISO/SAE 21434 fungeert de IdsM op POSIX-gebaseerde regeleenheden als een zelfstandige achtergrondservice (daemon-based Functional Cluster) AUTOSAR_AP_EXP_SWArchitecture p. 124. Zijn kerntaak bestaat uit het verzamelen van anomalieën en potentiële aanvalspogingen, het beoordelen daarvan aan de hand van geconfigureerde regels zoals snelheidsbegrenzingen of drempelwaarden, en het samenvoegen tot gekwalificeerde beveiligingsgebeurtenissen (Qualified Security Events) AUTOSAR_EXP_SWArchitecture p. 97.

De architectuur van de IdsM is ontworpen voor interoperabiliteit met andere functionele clusters. Platformservices zoals Communication Management AUTOSAR_AP_SWS_CommunicationManagement p. 34, Firewall AUTOSAR_AP_SWS_Firewall p. 11 en Diagnostic Management AUTOSAR_AP_SWS_Diagnostics p. 67, evenals applicatiespecifieke processen fungeren als security-sensoren AUTOSAR_AP_SWS_IntrusionDetectionSystemManager p. 13. Het onderstaande overzicht illustreert de inbedding van de IdsM-daemon in de runtime-omgeving van het Adaptive Platform.

Contextdiagram: Inbedding van de IdsM-daemon als centrale collector voor beveiligingsgebeurtenissen uit functionele clusters en applicaties. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 124, AUTOSAR_AP_SWS_IntrusionDetectionSystemManager p. 13, AUTOSAR_AP_EXP_PlatformDesign p. 95.

Eventmelding via EventReporter en interactievormen

De primaire ingangsinterface voor de overdracht van beveiligingsincidenten wordt gerealiseerd door de klasse [SWS_AIDSM_10101]. Een meldende entiteit instantieert deze klasse onder opgave van een gedefinieerde poort met behulp van ara::core::InstanceSpecifier thread-safe via de constructor [SWS_AIDSM_10301]. Hierdoor wordt de koppeling met het in het manifest gedefinieerde SecurityEventReportInterface tot stand gebracht AUTOSAR_AP_TPS_ManifestSpecification p. 257. De daadwerkelijke overdracht vindt plaats via overbelaste varianten van de synchrone methode ReportEvent, die telkens thread-safe kunnen worden uitgevoerd [SWS_AIDSM_10302].

Afhankelijk van de aard van de gebeurtenis en de beschikbare sensorgegevens biedt de interface gedifferentieerde meldvormen. De basismethode verzendt enkel een herhalingsaantal van het type [SWS_AIDSM_10203] (standaardwaarde 1) zonder verdere metadata [SWS_AIDSM_10302]. Voor tijdkritische processen kan een sensorspecifieke tijdstempel van het type [SWS_AIDSM_10202] direct worden meegegeven [SWS_AIDSM_10303]. Daarnaast kunnen onveranderlijke payloadgegevens als byte-span van het type [SWS_AIDSM_10201] hetzij afzonderlijk [SWS_AIDSM_10304] hetzij gecombineerd met een tijdstempel worden overgedragen [SWS_AIDSM_10305]. Voor gestructureerde eventformaten bestaan overbelastingen met geversioneerde contextgegevens van het type [SWS_AIDSM_10206], die een waardepaar vormen bestaande uit een contextgegevens-span en een 16-bits versie-indicator [SWS_AIDSM_10306], optioneel aangevuld met een expliciete tijdstempel [SWS_AIDSM_10307].

Een typisch scenario voor dit meldpad is het verwerpen van ontoelaatbare netwerkpakketten door de TCP/IP-stack en de Firewall: het besturingssysteem meldt geblokkeerde pakketten aan de Firewall-daemon, die vervolgens onmiddellijk ReportEvent aanroept AUTOSAR_AP_EXP_SWArchitecture p. 232. Het volgende sequentiediagram verduidelijkt dit synchrone meldproces.

Sequentiediagram: Synchroon melden van een beveiligingsgebeurtenis door een sensorcomponent via EventReporter. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 232, [SWS_AIDSM_10101], [SWS_AIDSM_10302].

Uitgebreide contextgegevens en tijdstempels via provider-interfaces

Om meldende processen niet te belasten met complexe tijduitvragen of statische contextinformatie, ondersteunt de architectuur een inversie van de besturingsstroom via provider-interfaces AUTOSAR_AP_EXP_SWArchitecture p. 122. Applicaties kunnen fungeren als tijdstempeldienstverleners door af te leiden van de abstracte klasse [SWS_AIDSM_10400]. Na instantiëring via de constructor [SWS_AIDSM_10401] activeert de applicatie de service met Offer() [SWS_AIDSM_10408]. Vanaf dat moment kan de IdsM indien nodig de zuiver virtuele methode GetTimestamp() aanroepen om de actuele tijdwaarde op te vragen [SWS_AIDSM_10407]. De beschikbaarstelling wordt beëindigd met StopOffer() [SWS_AIDSM_10409].

Op analoge wijze maakt de basisklasse [SWS_AIDSM_10500] de dynamische verrijking of modificatie van contextgegevens mogelijk. De constructor verwacht naast het InstanceSpecifier de grootte-opgave van aanvullende bytes evenals de offset voor de oorspronkelijke contextgegevens [SWS_AIDSM_10501]. Na vrijgave door Offer() [SWS_AIDSM_10507] roept de IdsM-daemon bij binnenkomst van een event de methode ModifyContextData aan [SWS_AIDSM_10509]. Hierbij wordt een beschrijfbare byte-span overgedragen, waarin de applicatie gewijzigde gegevens schrijft en de resulterende gegevensgrootte als ara::core::Result<std::size_t> terugmeldt [SWS_AIDSM_10509]. Met StopOffer() wordt de acceptatie van verdere modificatieverzoeken gedeactiveerd [SWS_AIDSM_10508].

Sequentiediagram: Levenscyclus en inversion-of-control-verloop bij de verrijking van beveiligingsgebeurtenissen via TimestampProvider en ContextDataProvider. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 122, [SWS_AIDSM_10408], [SWS_AIDSM_10509].

Ontvangst van gekwalificeerde beveiligingsgebeurtenissen en operationele besturing

Nadat de IdsM de binnenkomende gebeurtenissen heeft verwerkt en aan de hand van zijn filterregels heeft gekwalificeerd, kunnen geautoriseerde Adaptive Applications worden geïnformeerd over de aanwezigheid van een gekwalificeerde gebeurtenis AUTOSAR_AP_EXP_SWArchitecture p. 123. Hiervoor dient de klasse [SWS_AIDSM_10800], die via haar poortspecifieke constructor wordt geïnstantieerd [SWS_AIDSM_10801]. Na het aanroepen van Offer() [SWS_AIDSM_10808] stuurt de IdsM notificaties door naar de applicatie door de desbetreffende callback aan te roepen. Als er niet-geversioneerde gegevens beschikbaar zijn, vindt de aanroep plaats via OnEventQualification met optionele context en optionele tijdstempel [SWS_AIDSM_10807]. Als er geversioneerde contextgegevens aanwezig zijn, bedient de daemon de overbelaste interface [SWS_AIDSM_10810]. De notificatie kan worden beëindigd met StopOffer() [SWS_AIDSM_10809].

Sequentiediagram: Ontvangst van gekwalificeerde beveiligingsgebeurtenissen door een responsapplicatie via QualifiedEventsReceiver. Bronnen: AUTOSAR_AP_EXP_SWArchitecture p. 123, [SWS_AIDSM_10801], [SWS_AIDSM_10808], [SWS_AIDSM_10807].

Voor de dynamische besturing van het meldgedrag per event bestaat de klasse [SWS_AIDSM_10600], die via de constructor [SWS_AIDSM_10601] wordt geïnitialiseerd. Via GetReportingMode kan de actuele modus voor een event-ID van het type [SWS_AIDSM_10205] worden opgevraagd [SWS_AIDSM_10602]. Middels SetReportingMode kan de modus tijdens runtime worden gewijzigd [SWS_AIDSM_10603]. De enumeratie [SWS_AIDSM_10207] definieert de beschikbare modi, variërend van volledige uitschakeling (kOff) via standaard en gedetailleerde registratie (kBrief, kDetailed) tot aan het gericht omzeilen van interne filterketens (kBriefBypassingFilters, kDetailedBypassingFilters) [SWS_AIDSM_10207].

Toestandsdiagram: Meld- en filtermodi van de eventverwerking conform ReportingModeType. Bronnen: [SWS_AIDSM_10207], [SWS_AIDSM_10602], [SWS_AIDSM_10603].

Manifest-modellering, poortkoppeling en deployment

De integratie van alle interfaces in het totale systeem gebeurt declaratief via het AUTOSAR-manifest. Alle IdsM-gerelateerde poortinterfaces zijn in het metamodel afgeleid van de gemeenschappelijke basisklasse IdsmAbstractPortInterface AUTOSAR_AP_TPS_ManifestSpecification p. 257. De reporting wordt gemodelleerd via een SecurityEventReportInterface, dat via een SecurityEventReportToSecurityEventDefinitionMapping wordt gekoppeld aan een formele SecurityEventDefinition AUTOSAR_AP_TPS_ManifestSpecification p. 146. Deze expliciete ontkoppeling maakt het mogelijk om gestandaardiseerde softwarecomponenten te hergebruiken en projectspecifieke event-ID's pas op configuratieniveau toe te wijzen TPS_ManifestSpecification p. 146.

Op deployment-niveau worden de verschillende providers en receivers afgebeeld als UploadableDeploymentElement TPS_ManifestSpecification p. 881. Hiertoe behoren IdsmTimestampProviderMapping AUTOSAR_AP_TPS_ManifestSpecification p. 664, IdsmContextProviderMapping AUTOSAR_AP_TPS_ManifestSpecification p. 665, IdsmReportingModeProviderMapping AUTOSAR_AP_TPS_ManifestSpecification p. 667 evenals IdsmQualifiedEventReceiverMapping AUTOSAR_AP_TPS_ManifestSpecification p. 669. Deze metaklassen koppelen de modulaire platforminstantie IdsPlatformInstantiation aan het betreffende proces (Process) en de doelpoort (PPortPrototype resp. RPortPrototype) TPS_ManifestSpecification p. 664. Voor functionele clusters bestaat bovendien een speciale mapping FunctionalClusterToSecurityEventDefinitionMapping om platform-events zonder directe procesbinding conform de norm toe te wijzen AUTOSAR_AP_TPS_ManifestSpecification p. 873.

Gedrag bij fouten en diagnoseafhandeling

Foutsituaties binnen de IdsM-module worden volgens het gestandaardiseerde AUTOSAR-foutafhandelingsconcept afgehandeld via het foutdomein [SWS_AIDSM_10706]. Hiernaar wordt gerefereerd via de globale functie GetIdsmErrorDomain() [SWS_AIDSM_10702]. Concrete API-fouten worden gerepresenteerd door de enumeratie [SWS_AIDSM_10204] (alias [SWS_AIDSM_10707]). Treedt bijvoorbeeld bij het opvragen of instellen van een reporting-modus een onbekende event-ID op, dan retourneren de operaties GetReportingMode en SetReportingMode een foutieve ara::core::Result met de code IdsmErrc::kUnknownEventId [SWS_AIDSM_10602], [SWS_AIDSM_10603].

Voor de omzetting naar gestructureerde foutobjecten dient de hulpfunctie MakeErrorCode [SWS_AIDSM_10703]. Het foutdomein implementeert de interfaces voor het opvragen van de domeinnaam [SWS_AIDSM_10710] evenals het beschrijvende tekstbericht [SWS_AIDSM_10711]. Voor zover excepties in het systeem zijn geactiveerd, kan een foutcode via ThrowAsException [SWS_AIDSM_10712] als exceptie van het type [SWS_AIDSM_10704] (alias [SWS_AIDSM_10708]) worden geworpen, waarvan de constructor de onderliggende ErrorCode inkapselt [SWS_AIDSM_10705].

Verdere gedetailleerde bewijsplaatsen en specificatiereferentie

Het volgende overzicht vat de belangrijkste specificatiedocumenten en architectuurpunten van de module samen:

• Gebeurtenis-ingress en sensor-reporting: De specificaties [SWS_AIDSM_10101] en [SWS_AIDSM_10302] tot [SWS_AIDSM_10307] definiëren de C++-signatuur van EventReporter. De architecturale inbedding door platformsensoren wordt weergegeven in AUTOSAR_AP_SWS_IntrusionDetectionSystemManager p. 13 en AUTOSAR_AP_EXP_SWArchitecture p. 121.
• Platforminterne integratie: De afhankelijkheden en gebruikspatronen van andere functionele clusters zoals Communication Management (AUTOSAR_AP_SWS_CommunicationManagement p. 34), Firewall (AUTOSAR_AP_SWS_Firewall p. 11) en Diagnostic Management (AUTOSAR_AP_SWS_Diagnostics p. 67) bewijzen de universele rol van de IdsM als beveiligingscollector.
• Aanbieders van aanvullende gegevens en tijdstempels: De specificaties [SWS_AIDSM_10400] en [SWS_AIDSM_10500] regelen het leveringspatroon voor tijdstempels en contextmodificaties, aangevuld met het architectuurdiagram AUTOSAR_AP_EXP_SWArchitecture p. 122.
• Ontvangst van gekwalificeerde gebeurtenissen en bedrijfsmodi: De eisen [SWS_AIDSM_10800] en [SWS_AIDSM_10600] beschrijven de egress-communicatie en runtimeconfiguratie, geïllustreerd in AUTOSAR_AP_EXP_SWArchitecture p. 123.
• Manifest- en deploymentmodellering: De metamodelregels in AUTOSAR_AP_TPS_ManifestSpecification p. 257 en de deployment-mappings AUTOSAR_AP_TPS_ManifestSpecification p. 664 tot AUTOSAR_AP_TPS_ManifestSpecification p. 669 waarborgen de consistente instantiëring en koppeling tijdens ontwerp- en laadtijd.
• Foutafhandeling: De definities [SWS_AIDSM_10204] en [SWS_AIDSM_10706] vormen het fundament van de foutafhandeling bij ongeldige gebeurtenis-identifiers.