Figure 5.2: Intrusion Detection System Protocol Overview

1. Diagrammtyp & Architektur-Kontext

Tabellarische Spezifikation des Protokollformats (PDU-/Header-Layout) für das AUTOSAR Intrusion Detection System Protocol (IdsM-Protokoll) innerhalb der AUTOSAR Foundation bzw. Classic/Adaptive Platform. Das Diagramm definiert die Serialisierungsstruktur eines Sicherheitsereignis-Datensatzes (Security Event PDU) zur Übertragung von sicherheitsrelevanten Vorfällen von IdsM-Instanzen an übergeordnete Erfassungs- und Auswertestellen (z. B. Smart IdsM, SIEM oder fahrzeugexterne Backend-Systeme).

2. Komponenten, Entitäten & Schnittstellen

Das Protokollframe gliedert sich in folgende strukturierte Datenfelder:

• Protocol Version (4 Bit): Version des IdsM-Protokolls.
• Protocol Header (4 Bit): Steuer- und Präsenz-Flags:
  • Bit 0: Indikator für Context Data (0 = keine Context Data enthalten, 1 = Context Data enthalten).
  • Bit 1: Indikator für Timestamp (0 = kein Timestamp enthalten, 1 = Timestamp enthalten).
  • Bit 2: Indikator für Signature (0 = keine Signatur enthalten, 1 = Signatur enthalten).
  • Bit 3: Reserviertes Bit (reserved).
• IdsM Instance ID (10 Bit): Eindeutige Kennung der sendenden IdsM-Instanz (Wertebereich 0 bis 1023).
• Sensor Instance ID (6 Bit): Instanzkennung zur Unterscheidung mehrerer Sensorinstanzen.
• Event Definition ID (16 Bit): Eindeutiger Bezeichner des Sicherheitsereignisses:
  • AUTOSAR-interne IDs: 0x0000 bis 0x7FFF.
  • Kundenspezifische (OEM) IDs: 0x8000 bis 0xFFFE.
• Count (16 Bit): Zähler der IdsM-Aufrufe, die nach Anwendung konfigurierter Filter (z. B. EventAggregation) zu diesem aggregierten Event führen (Wertebereich 1 bis 65535).
• Reserved (8 Bit): Reserviert für zukünftige Erweiterungen.
• Timestamp (64 Bit, optional): Erfassungszeitpunkt des Ereignisses in Millisekunden-Auflösung. Byte 0 Bit 7 kennzeichnet das Format (0 = AUTOSAR Standard, 1 = Auxiliary/OEM-spezifisch); Byte 0 Bit 6 ist reserviert.
• Context Data (variabel, 2 bis (2^31 + len) Bytes, optional): Vom Sensor angehängter Binär-Blob (Binary blob). Das MSB des ersten Bytes kodiert das Längenfeld:
  • MSB = 0: 7-Bit-Längeninformation in Context Data [0] (Länge 1..127, len = 1).
  • MSB = 1: 63-Bit-Längeninformation in Context Data [0..3] (Länge 1..2^31, len = 4).
• Signature (3 bis 65537 Bytes, optional): Signaturfeld zur Absicherung bzw. Verschlüsselung/Integritätsprüfung des Security Events.

3. Dynamisches Verhalten & Sequenzablauf

Die Übertragung erfolgt nach folgendem Ablauf:

1. Ein Sensor detektiert ein sicherheitsrelevantes Vorkommnis und übergibt es zusammen mit Sensor-ID und optionalen Kontextdaten an die lokale IdsM-Instanz.
2. Das IdsM wendet konfigurierte Filterungs- und Aggregationsmechanismen an und inkrementiert das Feld Count.
3. Bei Erreichen der Meldeschwelle serialisiert das IdsM die PDU: Es setzt die Protokollversion, die Instanz-IDs und die Event Definition ID.
4. Anhand der Konfiguration und Datenverfügbarkeit werden im Protocol Header die Präsenz-Flags für Context Data (Bit 0), Timestamp (Bit 1) und Signature (Bit 2) gesetzt.
5. Sofern aktiv, werden der Zeitstempel (mit Format-Kennung in Byte 0 Bit 7), die dynamisch längenkodierten Kontextdaten (7 Bit oder 63 Bit Längenheader) und die kryptografische Signatur angehängt.
6. Das resultierende Paket wird an das Kommunikationsnetzwerk bzw. die IDS-Senke übermittelt.

4. Normative Relevanz & Entwickler-Hinweise

Für Implementierer gelten folgende normative Vorgaben und Designaspekte:

• Bitfeld-Packung: Die ersten drei logischen Einheiten bilden 24 Bit (Protocol Version [4 Bit] + Protocol Header [4 Bit] = 1 Byte; IdsM Instance ID [10 Bit] + Sensor Instance ID [6 Bit] = 2 Bytes), gefolgt von Event Definition ID (2 Bytes), Count (2 Bytes) und Reserved (1 Byte), womit der statische Basiskopf exakt 7 Bytes umfasst.
• Präsenzprüfung: Vor dem Parsen der optionalen Sektionen (Timestamp, Context Data, Signature) müssen zwingend die entsprechenden Bits 0, 1 und 2 im Feld Protocol Header ausgewertet werden.
• Variablenlängen-Parsing: Bei Context Data bestimmt Bit 7 von Byte 0 (Context Data[0]) die Headerlänge (len = 1 vs. len = 4). Implementierungen müssen Buffer-Overflows bei der Allokation von bis zu 2^31 Bytes strikt abfangen.
• Standard-Konformität: Event Definition IDs im Bereich 0x0000–0x7FFF sind für standardisierte AUTOSAR-Events reserviert; OEM-/projektspezifische Events müssen in 0x8000–0xFFFE liegen. 0xFFFF ist nicht als reguläre ID zulässig.