Figure 7.3: SEV protocol matching process

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: Entscheidungstabelle / Evaluierungsmatrix für Multi-Layer-Paketfilterung (Deep Packet Inspection).
• Technischer Zweck: Veranschaulichung des semantischen „Least-Distance“-Matching-Algorithmus zur präzisen Ableitung von Security Events (SEvs) gemäß [AP_SWS_Fw_60004], wenn ein eingehendes Netzwerkpaket durch die Default Action (Default-Deny/Drop) verworfen wird.
• Architektur-Einordnung:
  • AUTOSAR Adaptive Platform (AP), Functional Cluster Firewall (FC Firewall) (SWS Document ID 1063; Releases R23-11 bis R25-11).
  • Bindeglied zwischen Paketfilter-Engine (OSI-Schichten 3 bis 7), dem Kommunikationsstack (ara::com / SOME/IP) und dem Adaptive Intrusion Detection System Manager (AIdsm) zur qualifizierten Sicherheitsüberwachung.

2. Komponenten, Entitäten & Schnittstellen

• Network Packet (Eingehende PDU):
  • Konkrete Instanz eines Netzwerk-Frames mit hierarchischen Header-Attributen über mehrere Protokollschichten:
    • Layer 3 (Netzwerk): IP-Adresse 1.2.3.4
    • Layer 4 (Transport): TCP-Port 1000
    • Layer 7 (Applikation): SOME/IP Service-ID 0xABCD
• FirewallRules (FW Rule #1 bis #5):
  • Konfigurierte Regelmenge (FirewallRule), bestehend aus Schicht-Filterprädikaten:
    • Ipv4Rule (ipAddr): Ziel-/Quell-IP
    • TcpRule (port): Ziel-/Quell-Port
    • SomeipProtocolRule (serviceId): Service-Identifier der Middleware
• Zustandscodierung der Matrixzellen:
  • Blau hinterlegt (Match): Attributwert des Pakets stimmt mit dem Kriterium der Regel überein.
  • Rot hinterlegt (Mismatch): Attributwert des Pakets weicht von der Regel ab.
• Regel-Klassifikation im Schaubild:
  • FW Rule #1: IP-Match (1.2.3.4), TCP-Match (1000), SOME/IP-Mismatch (0x1234).
  • FW Rule #2: IP-Match (1.2.3.4), TCP-Match (1000), SOME/IP-Mismatch (0x3456).
  • FW Rule #3: IP-Match (1.2.3.4), TCP-Mismatch (2000), SOME/IP-Mismatch (0x5678).
  • FW Rule #4: Vollständiger Mismatch auf allen Schichten (5.6.7.8, 3000, 0x5678).
  • FW Rule #5: IP-Mismatch (5.6.7.8), TCP-Mismatch (3000), isolierter SOME/IP-Match (0xABCD).

3. Dynamisches Verhalten & Sequenzablauf

1. Paket-Ingress & Regel-Traversal:
   • Das Paket durchläuft die Regelauswertung. Keine der konfigurierten Regeln #1 bis #5 matcht vollständig (alle Regeln weisen mindestens ein rotes Feld auf).
2. Default-Action Drop:
   • Da kein explizites Rule-Matching vorliegt, greift die Default Action (Verwerfen des Pakets).
3. Least-Distance-Auswertung ([AP_SWS_Fw_60004]):
   • Die Firewall traversiert alle Regeln und ermittelt die maximale Anzahl konsekutiver Treffer beginnend bei der niedrigsten ISO/OSI-Schicht (Bottom-Up: L3 → L4 → L7):
     • Regeln #1 & #2: 2 konsekutive Schichten stimmen überein (L3: IP + L4: TCP). Der Bruch erfolgt erst auf L7 (SOME/IP).
     • Regel #3: Nur 1 Schicht stimmt überein (L3: IP). Bruch bereits auf L4 (TCP).
     • Regel #4: 0 Schichten stimmen überein (Bruch bereits auf L3).
     • Regel #5: Kein Bottom-Up-Match (L3 und L4 schlagen fehl). Der Treffer auf L7 (0xABCD) ist isoliert und ungültig, da die Transportkette unterbrochen ist.
4. Identifikation der Fehlerschicht & SEv-Generierung:
   • Regeln #1 und #2 besitzen den geringsten Abstand (Least Distance) zum Paket.
   • Die erste abweichende Schicht ist SOME/IP (Service ID).
   • Resultat: Die Firewall qualifiziert den Vorfall nicht als generischen IP- oder Port-Verstoß, sondern triggert einen spezifischen Security Event für eine unzulässige SOME/IP-Service-Anfrage an den AIdsm.

4. Normative Relevanz & Entwickler-Hinweise

• Algorithmische Komplexität & DoS-Resilienz:
  • Das Least-Distance-Matching bei No-Match-Paketen bedingt im naiven Ansatz eine O(N)-Traversierung aller Regeln.
  • Implementierungshinweis: Paketverarbeitende Treiber und Stack-Entwickler müssen Lookup-Strukturen (z. B. hierarchische Radix-Trees oder Hash-Tabellen über L3/L4) nutzen, um CPU-Erschöpfung bei gefluteten Denial-of-Service-Paketen mit gezielten No-Matches zu verhindern.
• Strikte Bottom-Up-Hierarchie:
  • Ein Treffer auf Applikationsebene (L7, z. B. SOME/IP 0xABCD in Regel #5) darf niemals als Teilübereinstimmung gewertet werden, wenn L3 oder L4 fehlschlagen. Höhere Schichten besitzen ohne valide Transport- und Netzwerkschicht keine semantische Gültigkeit.
• IdsM-Reporting & Event-Drosselung:
  • Die präzise Schichtzuordnung liefert dem AIdsm den exakten Angriffskontext (z. B. unautorisierter Funktionsaufruf auf einem ansonsten legitimen Endpunkt).
  • Bei hoher Paketrate an abgewiesenen Paketen muss die SEv-Meldung an den AIdsm über Rate-Limiter (SEV_FW_PACKET_BLOCKED_RATELIMIT gemäß AP SWS Firewall) entkoppelt werden, um eine Überlastung des Security-Event-Puffers im Betriebssystem zu unterbinden.