Figure 9.60: Interfaces for reporting security events

1. Diagrammtyp & Architektur-Kontext

• Klassifikation: UML-Komponentendiagramm mit Schnittstellen- und Realisierungsbeziehungen, annotiert mit Stereotypen des AUTOSAR Adaptive Platform (AAP) Profils.
• Architektur-Kontext: AUTOSAR Adaptive Platform (AP Release R23-11), Funktionsbereich Intrusion Detection System (IDS).
• Technischer Zweck: Spezifikation der standardisierten Schnittstelle zur Meldung sicherheitsrelevanter Ereignisse (Security Events) von einer Anwendung an den zentralen Intrusion Detection System Manager (IdsM). Das Muster realisiert eine lose Kopplung zwischen Event-Detektoren (Sensoren) und der zentralen Sicherheits-Überwachungsinstanz.

2. Komponenten, Entitäten & Schnittstellen

• Adaptive Application (UML-Komponente):
  • Repräsentiert einen Prozess im User-Space der Adaptive Platform, der als Security-Event-Sensor fungiert (z. B. Diagnose, Firewall, Routing-Engine).
• «aapPortInterface,aapAPI» EventReporter (UML-Interface):
  • Stereotypen:
    • «aapPortInterface»: Modellierungselement im AUTOSAR-Metamodell für Port-basierte Dienstarchitekturen.
    • «aapAPI»: Direkte Repräsentation als C++ Programmierschnittstelle (ara::idsm::EventReporter).
  • Operationen: + ReportEvent(): Öffentliche Methode zum Übermitteln von Security Events inklusive Event-ID und optionalen Kontextdaten (Payload).
• «aapFunctionalCluster» Intrusion Detection System Manager (UML-Komponente):
  • Stereotyp: «aapFunctionalCluster»: Standardisierter Kernbestandteil der Adaptive Platform Architecture.
  • Realisierungsform: daemon-based: Läuft als eigenständiger System-Daemon/Dienstprozess auf OS-Ebene.
• Beziehungen:
  • Adaptive Application –«use»→ EventReporter: Abhängigkeitsbeziehung (Client-Nutzung).
  • Intrusion Detection System Manager $\dashrightarrow \triangle$ EventReporter: Schnittstellen-Realisierung (Interface Realization). Der Daemon implementiert das Interface serverseitig bzw. stellt die Backend-Implementierung bereit.

3. Dynamisches Verhalten & Sequenzablauf

1. Trigger: Eine Adaptive Application registriert zur Laufzeit ein sicherheitskritisches Vorkommnis (z. B. fehlgeschlagene Authentifizierung, Integritätsverletzung, CAN/Ethernet-Frame-Anomalie).
2. Synchroner API-Aufruf: Die Applikation ruft die lokale Methode ReportEvent() der Client-Bibliothek (ara::idsm) auf.
3. IPC-Transport: Da der Intrusion Detection System Manager als daemon-based deklariert ist, wird das Ereignis über einen Inter-Process-Communication-Kanal (IPC, z. B. Unix Domain Sockets oder POSIX Message Queues/Shared Memory) asynchron oder non-blocking in den Adressraum des IdsM-Daemons übertragen.
4. Daemon-Verarbeitung:
   • Validierung und Filterung (z. B. Rate Limiting, Thresholding gegen Event-Flooding/DoS).
   • Aggregation qualifizierter Security Events (QsEv) und Weiterleitung an den IdsM-Kanal (z. B. Persistenzspeicher oder On-Board/Off-Board Reporting via IdsR an ein Vehicle Security Operations Center).
5. Rückmeldung: Typischerweise Rückgabe eines ara::core::Result<void> an die aufrufende Applikation (bestätigt die Pufferung der IPC-Nachricht; kein Warten auf Off-Board-Versand).

4. Normative Relevanz & Entwickler-Hinweise

• API- und Manifest-Vertrag:
  • Entwickler einer Adaptive Application müssen in den ARXML-Beschreibungen (Application Design / Execution Manifest) die Service-Instanz-Abhängigkeit zum EventReporter-Port definieren.
  • Die Security-Event-IDs müssen mit der IdsM-Konfiguration des Gesamtfahrzeugs harmonisiert sein (IDs, Context Data Types).
• IAM / Access Control:
  • Der Zugriff auf die EventReporter-API erfordert entsprechende Berechtigungen im Identity and Access Management (IAM), um Spoofing von Security-Events durch unprivilegierte Prozesse zu verhindern.
• Laufzeit- und Echtzeitverhalten:
  • ReportEvent() muss reentrancy- und thread-safe sein.
  • Die API ist so implementiert, dass Event-Flooding die Echtzeitpfade der anwendenden Applikation nicht blockiert; bei IPC-Pufferüberlauf greifen definierte Drop-Strategien.
  • Entwickler dürfen keine sensiblen Klartextdaten (Schlüssel, Passwörter, PII) in den Kontext-Payloads von ReportEvent() übermitteln.