3. 车载网络安全威胁
车载网络的安全威胁并非抽象概念，而是由物理接口、通信协议、软件组件和外部连接共同构成的攻击面所决定。理解威胁的第一步，是明确“谁能够从哪里进入、能做什么、会造成什么后果”。本节围绕典型攻击面、攻击向量和威胁模型展开，并以CAN总线的注入、重放、拒绝服务攻击为例，建立从入口到影响的完整认知链条。
一、核心原理：攻击面、攻击向量与威胁模型的关系
攻击面是系统中所有可能被攻击者利用的入口集合，包括物理接口、无线接口、软件接口和供应链接口。攻击向量是攻击者实际利用这些入口所采用的路径或手段，例如通过OBD-II注入报文、通过蓝牙配对漏洞写入恶意指令、通过OTA通道篡改固件。威胁模型则是对“攻击者能力、攻击目标、攻击路径和潜在影响”的结构化描述，用于指导入侵检测系统的检测点部署和规则设计。
三者关系可以概括为：攻击面决定“可被触及的范围”，攻击向量决定“如何触及”，威胁模型决定“值得优先检测什么”。在车载IDS工程中，威胁模型不是一次性文档，而是与攻击面变化同步迭代的基线。
二、方法流程：从攻击面梳理到威胁模型落地
在工程实践中，建议按以下流程建立可检测的威胁模型：
- 资产识别：列出整车中与安全相关的ECU、总线、网关、诊断服务和外部接口，标注其功能安全等级与数据敏感度。
- 攻击面枚举：对每个资产，逐一确认物理、无线、软件和供应链入口，形成攻击面清单。
- 攻击向量映射：将攻击面与已知攻击手法对应，例如OBD-II对应诊断服务滥用，CAN总线对应注入与重放。
- 威胁建模：使用STRIDE或攻击树方法，描述攻击者能力、攻击前提、攻击路径和影响，输出威胁列表。
- 检测点设计：在网关、域控制器、CAN收发器和IDS探针上部署检测规则，覆盖报文频率、ID白名单、数据域语义和时序特征。
- 验证与迭代：通过渗透测试和仿真注入验证检测规则，根据误报率和漏报率持续调整阈值。
提示：威胁模型不是“一次性文档”。当车辆新增OTA通道、新增第三方应用或变更网关路由规则时，攻击面和攻击向量都会变化，IDS规则必须同步更新。
三、案例/场景：CAN总线三类典型攻击
CAN总线采用广播式通信，报文ID决定优先级，数据域承载控制信息，且原生协议缺少认证和加密。这使其成为车载网络中最典型的攻击目标。
| 攻击类型 | 典型入口 | 攻击特征 | 潜在影响 | IDS检测关注点 |
|---|---|---|---|---|
| 注入攻击 | OBD-II、CAN收发器、网关 | 伪造合法ID，发送异常数据域 | 刹车、转向、动力控制异常 | ID频率突变、周期偏离、数据域越界 |
| 重放攻击 | 总线监听点、诊断接口 | 录制合法报文后重复发送 | 重复执行解锁、启动等动作 | 时间戳重复、计数器不递增、序列异常 |
| 拒绝服务 | 高优先级ID洪泛 | 总线负载率骤升，关键报文延迟 | 关键控制报文丢失或超时 | 总线负载率、ID发送频率、报文间隔 |
以注入攻击为例，攻击者可通过OBD-II接口接入CAN总线，伪造ID为0x0C9的刹车控制报文，将数据域中的目标压力值改为异常值。若IDS仅依赖ID白名单，可能无法识别“合法ID+异常数据”的组合，因此需要引入数据域语义检测和周期一致性检测。
# 典型CAN报文日志片段（注入攻击场景）
(时间戳) ID DLC 数据域 周期(ms)
12:00:01.120 0x0C9 8 00 00 00 00 00 00 00 00 20
12:00:01.140 0x0C9 8 00 00 00 00 00 00 00 00 20
12:00:01.145 0x0C9 8 FF FF FF FF FF FF FF FF 5 ← 异常：周期突变+数据域越界
12:00:01.150 0x0C9 8 FF FF FF FF FF FF FF FF 5 ← 异常：高频重复
12:00:01.160 0x0C9 8 00 00 00 00 00 00 00 00 20
重放攻击的典型场景是：攻击者录制遥控钥匙解锁报文，在车主离开后重放该报文，导致车门再次解锁。由于报文本身完全合法，传统签名校验无法识别，必须依赖计数器、时间戳或挑战-应答机制。拒绝服务攻击则常表现为某一高优先级ID以极高频率占用总线，导致低优先级安全报文无法及时发送。
四、误区与复盘
常见误区：认为“CAN总线是封闭的，所以不需要入侵检测”。实际上，OBD-II、蓝牙、Wi-Fi、OTA和第三方应用都可能成为攻击入口，封闭性并不等于安全性。
- 误区一：只关注外部网络，忽略车内总线。车内CAN总线一旦被物理接入，攻击者可直接注入控制报文，影响功能安全。
- 误区二：只做ID白名单，不做数据域检测。合法ID携带异常数据是注入攻击的常见形态，必须结合语义和周期特征。
- 误区三：把威胁模型当成静态文档。车辆配置、软件版本和连接方式变化后，攻击面和攻击向量都会变化，模型必须持续更新。
- 误区四：忽略误报成本。IDS规则过严会导致正常报文被拦截，影响车辆功能；过松则漏报。需要基于实车数据调优阈值。
复盘时应重点关注：攻击入口是否被正确识别、检测点是否覆盖关键路径、规则是否能够区分正常波动与恶意行为、响应策略是否会影响功能安全。只有将攻击面、攻击向量和威胁模型三者联动，才能让车载IDS从“被动告警”走向“可运营的安全能力”。