1. 课程导入
智能网联汽车正在从“交通工具”演变为“移动计算平台”。一辆现代智能汽车通常包含 70～150 个电子控制单元（ECU）、多条车载总线（CAN、CAN FD、LIN、FlexRay、车载以太网）、数十个对外通信接口（4G/5G、Wi-Fi、蓝牙、V2X、USB、OBD、OTA）。功能越丰富，攻击面越大：攻击者一旦通过远程接口或物理接口进入车内网络，就可能伪造控制报文、篡改传感器数据、劫持诊断会话，甚至影响转向、制动等安全关键功能。车载网络安全因此从“可选项”变成“准入项”，而入侵检测测试与攻防验证工程，正是把安全能力从设计文档落到实车证据的关键环节。
一、核心原理：为什么车载网络“天生脆弱”
车载网络的设计初衷是可靠、实时、低成本，而非安全。以 CAN 总线为例，它采用广播式通信与仲裁机制，报文本身不带源地址认证，也不加密。这意味着任何接入总线的节点都可以发送报文，接收方难以判断报文是否来自合法 ECU。典型风险包括：
- 报文伪造：攻击者发送高优先级 CAN ID，抢占总线并注入错误控制指令。
- 重放攻击：录制合法报文后重复发送，绕过部分基于内容合法性的检测。
- 拒绝服务：持续发送高优先级报文，使关键控制报文无法及时传输。
- 诊断滥用：利用 UDS 诊断服务读取敏感数据、刷写固件或解锁安全访问。
- 网关越权：通过信息娱乐域跳板，跨域访问动力、底盘等安全关键域。
入侵检测系统（IDS）的核心任务，是在这些异常行为造成实际危害前发现它们。车载 IDS 通常部署在网关、域控制器或关键 ECU 上，采集总线报文、以太网流量、系统调用与诊断日志，通过规则、统计、机器学习或混合模型进行判定，并输出告警、阻断或取证数据。
核心概念对齐：入侵检测测试关注“检测能力是否有效”，攻防验证关注“攻击链是否可复现、防御链是否可闭环”。两者共同构成车载安全验证的“双螺旋”。
二、整体框架：从攻击面到验证闭环
本课程围绕“资产—威胁—检测—验证—改进”五环展开。下图给出车载入侵检测测试与攻防验证工程的整体关系：左侧是攻击面与攻击路径，中间是检测与响应能力，右侧是测试验证与工程闭环。
三、方法流程：一次完整的攻防验证怎么做
工程实践中，攻防验证不是“随便发几帧攻击报文”，而是有明确阶段与证据链的流程。典型步骤如下：
- 资产梳理与攻击面建模：识别 ECU、总线、网关、对外接口与数据流，形成资产清单和信任边界。
- 威胁分析与攻击路径设计：基于 STRIDE、攻击树或 TARA 方法，确定高价值攻击路径与验证优先级。
- 测试环境搭建：在台架、HIL、靶场或实车上部署 IDS，配置采集点、镜像口与时间同步。
- 攻击注入与数据采集：执行报文伪造、重放、DoS、诊断越权等攻击，同步记录总线日志与 IDS 告警。
- 检测效果评估：计算检出率、误报率、告警时延、漏报场景，定位检测盲区。
- 修复与回归：优化规则、阈值或模型，补充测试用例，完成回归验证并留存证据。
工程提示：攻防验证必须可复现。建议固定车辆软件版本、总线负载、环境温度与测试脚本版本，否则检出率数据没有可比性。
四、案例场景：一条典型的 CAN 注入攻击链
假设某车型信息娱乐域通过网关与动力 CAN 相连。攻击者通过 Wi-Fi 漏洞进入信息娱乐系统，利用网关配置缺陷转发恶意 CAN 报文，伪造“车速信号”并触发仪表误显示。验证过程如下：
# 简化攻击注入示例（仅用于授权测试环境）
candump can0 | grep 0x1A0 # 观察目标报文周期与数据
cansend can0 1A0#0000000000000000 # 伪造车速为 0
cansend can0 1A0#FFFFFFFFFFFFFFFF # 伪造异常高车速
# 同步记录 IDS 告警与总线负载
candump -l can0 > attack_can.log若 IDS 仅依赖“报文 ID 白名单”，则伪造报文因 ID 合法而漏报；若引入周期检测、数据范围校验与发送源指纹，则可在异常周期或异常数据出现时告警。这个案例说明：检测策略必须与攻击行为对齐，测试用例必须覆盖绕过路径。
五、常见误区与复盘要点
| 误区 | 表现 | 纠正方向 |
|---|---|---|
| 只测功能，不测绕过 | IDS 能报简单攻击，但重放、慢速注入、分片攻击漏报 | 增加对抗性测试用例与红队视角 |
| 只看检出率，不看误报率 | 告警泛滥，运营人员忽略真实攻击 | 建立误报率、告警收敛与分级响应指标 |
| 测试环境与实车差异大 | 台架通过，实车因总线负载、时序差异失效 | 台架、HIL、实车三级验证，保留环境参数 |
| 缺少证据链 | 无法复现、无法定责、无法通过认证审核 | 统一日志格式、时间同步、版本基线管理 |
合规提醒：所有攻击测试必须在授权范围内进行，禁止对非授权车辆、公共道路车辆或生产环境实施攻击。测试前应完成风险评估与书面授权。
六、学习目标与能力地图
完成本课程后，你应具备以下能力：
- 理解车载网络攻击面、典型攻击链与安全关键资产。
- 掌握车载 IDS 的采集、检测、响应与运营基本架构。
- 能够设计入侵检测测试用例，覆盖正常、异常与攻击场景。
- 能够搭建台架/HIL/靶场验证环境，执行攻击注入与数据采集。
- 能够评估检出率、误报率、时延与覆盖率，并输出验证报告。
- 能够结合 ISO/SAE 21434、UN R155 等要求，形成工程闭环。
车载网络安全不是单点技术，而是“攻击面管理 + 检测能力 + 验证证据 + 持续运营”的系统工程。接下来的章节将沿着这条主线，从总线协议、检测算法、测试工具到攻防实战逐步展开。