4. 威胁监控核心概念
在R155法规框架下，威胁监控与事件响应（VSOC）体系的建设起点不是采购工具，而是把“监控什么、为什么监控、用什么数据监控、什么算事件、什么算告警、如何评价监控质量”这六个问题定义清楚。本章围绕监控目标、监控对象、数据源、日志类型、事件与告警定义、误报与漏报六个核心概念展开，帮助工程团队建立统一的监控语义基线。
一、监控目标：从法规义务到安全能力
监控目标回答的是“为什么要监控”。R155要求车辆制造商建立持续监控能力，识别针对车辆的网络威胁、漏洞和攻击事件，并判断其是否构成需要响应的安全事件。因此监控目标可分为三层：
- 合规层：满足R155对威胁监控、事件检测、日志留存和报告的要求，形成可审计的证据链。
- 安全层：及时发现针对车辆、车云链路、诊断接口、OTA通道的异常行为，缩短检测与响应时间。
- 运营层：通过持续监控反哺风险评估、漏洞管理和安全设计，形成“监控—分析—改进”的闭环。
监控目标决定了后续所有设计取舍。如果目标只是合规留痕，监控范围可能停留在日志采集；如果目标是真实安全运营，则必须覆盖检测规则、告警分级、响应流程和误报治理。
二、监控对象：车辆、云端与供应链
监控对象是监控目标的具体承载者。在R155语境下，监控对象通常包括：
- 车辆端：ECU、网关、T-Box、IVI、ADAS域控制器、诊断接口、车载总线（CAN/CAN FD/Ethernet）。
- 云端：车联网平台、OTA服务器、远程控制服务、证书与密钥管理系统、API网关。
- 通信链路：车云通道、V2X链路、蓝牙/Wi-Fi、USB与OBD接口。
- 供应链与开发侧：第三方组件、开源库、供应商接口、构建与发布流水线。
监控对象需要与资产清单绑定。没有资产清单，监控对象就是模糊的；没有监控对象，日志采集和检测规则就无从落地。
三、数据源与日志类型：监控的“原材料”
数据源是产生监控数据的系统或组件，日志类型是数据的具体形态。常见数据源与日志类型如下表所示：
| 数据源 | 典型日志类型 | 监控价值 |
|---|---|---|
| 车载网关/ECU | CAN报文统计、诊断请求、复位记录 | 发现异常报文、非法诊断、总线泛洪 |
| T-Box/车云通道 | 连接日志、鉴权日志、指令日志 | 发现异常登录、重放、指令篡改 |
| IVI/应用层 | 应用崩溃、权限变更、文件操作 | 发现恶意应用、提权、数据窃取 |
| OTA平台 | 升级包签名校验、下发记录、回滚记录 | 发现包篡改、降级攻击、异常下发 |
| 云端API网关 | 访问日志、限流日志、错误码 | 发现接口滥用、越权访问、扫描行为 |
| PKI/密钥系统 | 证书签发、吊销、密钥调用 | 发现证书滥用、密钥泄露迹象 |
日志类型还可按结构分为结构化日志（JSON、Syslog）、半结构化日志和原始二进制日志。工程上应优先采集结构化日志，并统一时间戳、车辆标识、ECU标识和事件编号，否则后续关联分析成本极高。
{
"ts": "2025-03-18T10:22:31Z",
"vin": "LSVAA1234567890",
"ecu": "T-Box",
"event": "AUTH_FAIL",
"src_ip": "203.0.113.45",
"count": 12,
"severity": "medium"
}四、事件与告警定义：从原始数据到可行动信息
事件（Event）是对系统中发生的、可被观察到的行为的记录，例如一次登录失败、一次诊断请求、一次OTA下载。告警（Alert）是检测规则对事件或事件序列进行判断后，认为其可能构成安全威胁而生成的提示。二者的关系是：事件是原料，告警是加工后的判断结果。
在VSOC中，通常还需要区分“安全事件（Security Incident）”：当告警经过分析确认对车辆或业务造成实际或潜在影响时，升级为安全事件，进入响应流程。因此形成三级语义：
- 事件：客观记录，数量大，不直接行动。
- 告警：规则触发，需要分级和研判。
- 安全事件：确认威胁，需要响应、取证和报告。
五、误报与漏报：监控质量的两把标尺
误报（False Positive）是把正常行为判为威胁；漏报（False Negative）是把真实威胁判为正常。二者是监控体系最核心的质量指标。误报过高会导致告警疲劳，分析师忽略真实告警；漏报过高则意味着监控形同虚设，可能直接导致法规不合规和安全事故。
误报与漏报通常此消彼长。降低误报可能放宽规则，从而增加漏报；降低漏报可能收紧规则，从而增加误报。工程上需要通过阈值调优、白名单、上下文关联和机器学习辅助来平衡。
规则：T-BOX_AUTH_FAIL_BURST
条件：同一VIN在5分钟内AUTH_FAIL >= 10
误报来源：用户频繁重试、网络抖动
漏报风险：攻击者慢速尝试，每次间隔6分钟
优化：结合源IP信誉、地理异常、历史基线六、案例与场景：一次异常诊断请求的监控链路
假设某车辆在夜间频繁出现诊断请求，且请求来自非授权诊断仪。监控链路如下：
- 数据源：网关记录诊断请求日志。
- 日志类型：包含时间、源地址、诊断服务ID、VIN。
- 事件：单次诊断请求被记录。
- 告警：规则检测到“非授权源+高频诊断+夜间时段”，触发告警。
- 安全事件：分析师确认该行为试图读取敏感数据，升级为安全事件并启动响应。
如果规则只监控“诊断请求数量”，可能产生大量误报；如果只监控“授权源”，则可能漏报伪造源地址的攻击。因此需要多维度关联。
七、误区与复盘
复盘时应回答：监控目标是否清晰？监控对象是否完整？数据源是否覆盖关键链路？日志是否可关联？告警是否可行动？误报率和漏报率是否被度量？只有这些问题形成闭环，R155威胁监控才真正具备工程意义。
综上，监控目标、监控对象、数据源、日志类型、事件与告警定义、误报与漏报共同构成R155威胁监控的概念底座。只有先把这些概念定义清楚，后续的检测规则、响应流程和合规报告才有稳定的语义基础。