車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集技術(shù)要求及測(cè)試方法

1車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集技術(shù)要求及測(cè)試方法本文件定義了基礎(chǔ)電信網(wǎng)絡(luò)中車聯(lián)網(wǎng)網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的技術(shù)要求，包括采集覆蓋范圍、協(xié)議及資產(chǎn)識(shí)別、通聯(lián)記錄、安全監(jiān)測(cè)及指令協(xié)同內(nèi)容等要求，以及相應(yīng)的測(cè)試方法本文件適用于基礎(chǔ)電信企業(yè)對(duì)車聯(lián)網(wǎng)網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集相關(guān)能力的規(guī)劃、設(shè)計(jì)、評(píng)估、檢測(cè)等工作。2規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件：不注日期的引用文件，其最新版本(包括所有的修改單)適GB/T32960電動(dòng)汽車遠(yuǎn)程服務(wù)與管理系統(tǒng)技術(shù)規(guī)范JT/T808道路運(yùn)輸車輛衛(wèi)星定位系統(tǒng)終端通訊協(xié)議及數(shù)據(jù)格式JT/T809道路運(yùn)輸車輛衛(wèi)星定位系統(tǒng)平臺(tái)數(shù)據(jù)交換JT/T905出租汽車服務(wù)管理信息系統(tǒng)數(shù)據(jù)交換與共享JT/T1078道路運(yùn)輸車輛衛(wèi)星定位系統(tǒng)視頻通信協(xié)議3術(shù)語(yǔ)和定義GB/T25069-2022界定的以及下列術(shù)語(yǔ)和定義適用于本文件車聯(lián)網(wǎng)終端10Vterminal包含智能網(wǎng)聯(lián)汽車、車內(nèi)關(guān)鍵部件(例如：TBox、0BU、車載網(wǎng)關(guān)、IVI、智能車機(jī)等),以及智能車載設(shè)備(例如：智能行車后視鏡、行車記錄儀等)。車聯(lián)網(wǎng)安全監(jiān)測(cè)平臺(tái)10Vsecuritymonitoringplatform一種具備數(shù)據(jù)采集、分析、預(yù)測(cè)和響應(yīng)能力的系統(tǒng)，能夠?qū)嚶?lián)網(wǎng)系統(tǒng)的安全狀態(tài)進(jìn)行全面監(jiān)測(cè)和評(píng)估。3個(gè)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)內(nèi)容指令協(xié)同內(nèi)容主機(jī)受控事件監(jiān)測(cè)網(wǎng)絡(luò)攻擊事件監(jiān)測(cè)惡意報(bào)文指令協(xié)同有害程序傳播事件監(jiān)測(cè)惡意樣本監(jiān)測(cè)惡意樣本指令協(xié)同車聯(lián)網(wǎng)協(xié)議識(shí)別車聯(lián)網(wǎng)資產(chǎn)識(shí)別車聯(lián)網(wǎng)通聯(lián)記錄控制面和用戶面流量數(shù)據(jù)采集覆蓋范圍物聯(lián)網(wǎng)專圖1車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集總體框架6車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集技術(shù)要求6.1數(shù)據(jù)采集覆蓋范圍車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集范圍要求如下a)應(yīng)支持覆蓋移網(wǎng)3G/4G/5G網(wǎng)絡(luò)(含物聯(lián)網(wǎng)專網(wǎng))中的車聯(lián)網(wǎng)相關(guān)流量，包括控制面和用戶面流量。b)應(yīng)支持覆蓋固網(wǎng)IDC/專線中的車聯(lián)網(wǎng)相關(guān)流量，包括IDC連接省網(wǎng)/骨干網(wǎng)的出口流量車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的協(xié)議識(shí)別要求如下：a)應(yīng)支持基于流量的協(xié)議識(shí)別，包括對(duì)TCP/UDP端口、報(bào)文負(fù)載特征、關(guān)聯(lián)分析檢測(cè)和行為特征等的識(shí)別。D/T×xx×x—20214b)應(yīng)支持識(shí)別的協(xié)議包括但不限于NQTT、XMPP、COAP、ONVIF、RTSP等主流協(xié)議以及GB/T32960、JT/T808、JT/T809、JT/T905等標(biāo)準(zhǔn)定義的車聯(lián)網(wǎng)協(xié)議。具體詳見(jiàn)附錄A。6.3車聯(lián)網(wǎng)資產(chǎn)識(shí)別車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的資產(chǎn)識(shí)別要求如下：應(yīng)支持對(duì)主流車聯(lián)網(wǎng)終端、車聯(lián)網(wǎng)服務(wù)平臺(tái)等車聯(lián)網(wǎng)資產(chǎn)的識(shí)別，識(shí)別內(nèi)容至少包括車聯(lián)網(wǎng)終端廠家、型號(hào)、版本、車聯(lián)網(wǎng)服務(wù)平臺(tái)名稱、車聯(lián)網(wǎng)服務(wù)平臺(tái)地址等資產(chǎn)信息。6.4車聯(lián)網(wǎng)通聯(lián)記錄車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的通聯(lián)記錄識(shí)別要求如下：應(yīng)支持對(duì)車聯(lián)網(wǎng)協(xié)議深度解析生成詳細(xì)的通聯(lián)記錄，至少包括通聯(lián)時(shí)間、源IP、目的IP、源端口、目的端口、終端標(biāo)識(shí)、域名、URL、協(xié)議、APN/DNN等。6.5車聯(lián)網(wǎng)網(wǎng)絡(luò)安全監(jiān)測(cè)內(nèi)容及指標(biāo)6.5.1主機(jī)受控事件監(jiān)測(cè)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的主機(jī)受控事件監(jiān)測(cè)要求如下：a)應(yīng)支持監(jiān)測(cè)僵尸網(wǎng)絡(luò)傳播等主機(jī)受控事件，并獲取事件的發(fā)現(xiàn)時(shí)間、傳輸層協(xié)議、源IP、源端口、目的IP、目的端口、終端標(biāo)識(shí)、感染惡意程序名稱等基本信息。b)針對(duì)HTTP協(xié)議的惡意控制事件，應(yīng)獲取惡意控制端URL地址。6.5.2網(wǎng)絡(luò)攻擊事件監(jiān)測(cè)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的網(wǎng)絡(luò)攻擊監(jiān)測(cè)要求如下：a)應(yīng)支持監(jiān)測(cè)車聯(lián)網(wǎng)流量中針對(duì)車聯(lián)網(wǎng)服務(wù)平臺(tái)及車聯(lián)網(wǎng)終端的網(wǎng)絡(luò)攻擊事件，事件類型包括網(wǎng)絡(luò)掃描探測(cè)、系統(tǒng)漏洞利用、拒絕服務(wù)攻擊、Web攻擊(如SQL注入、XSS等)、APT等。b)應(yīng)支持獲取事件的發(fā)現(xiàn)時(shí)間、傳輸層協(xié)議、源IP、源端口、目的IP、目的端口、終端標(biāo)識(shí)惡意網(wǎng)絡(luò)攻擊事件類型、事件詳細(xì)描述、攻擊載荷等信息。6.5.3有害程序傳播事件監(jiān)測(cè)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的有害程序傳播事件監(jiān)測(cè)要求如下：a)應(yīng)支持監(jiān)測(cè)車聯(lián)網(wǎng)流量中的有害程序傳播事件，有害程序類型包括網(wǎng)絡(luò)蠕蟲(chóng)、特洛伊木馬、僵尸網(wǎng)絡(luò)、移動(dòng)惡意程序、勒索病毒、挖礦病毒等。b)應(yīng)支持監(jiān)測(cè)涉車惡意APP的傳播和下載行為c)應(yīng)支持獲取事件的發(fā)現(xiàn)時(shí)間、傳輸層協(xié)議、源P、源端口、目的IP、目的端口、終端標(biāo)識(shí)、危害分類、惡意程序名稱、惡意程序標(biāo)識(shí)等信息。d)針對(duì)HTTP協(xié)議的有害程序傳播事件，應(yīng)支持獲取惡意控制端URL地址。6.5.4惡意樣本文件監(jiān)測(cè)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的惡意樣本文件監(jiān)測(cè)要求如下：a)應(yīng)支持識(shí)別車聯(lián)網(wǎng)流量中的惡意樣本文件，包括文件還原、應(yīng)用動(dòng)作識(shí)別、提交信息還原b)應(yīng)支持識(shí)別和還原車聯(lián)網(wǎng)APP、車聯(lián)網(wǎng)軟件在線升級(jí)包、涉車惡意APP,可識(shí)別和還原的文件類型應(yīng)至少包括apk、ipa、jar、dex、hap、zip、elf、so等5c)應(yīng)支持通過(guò)文件哈希值、二進(jìn)制特征、字符串特征等監(jiān)測(cè)特征，對(duì)還原的樣本進(jìn)行監(jiān)測(cè)識(shí)別，捕獲其中的惡意樣本和疑似惡意樣本文件d)應(yīng)支持獲取樣本文件的發(fā)現(xiàn)時(shí)間、惡意樣本文件名稱、惡意樣本哈希值、惡意樣本類型、惡意樣本描述，惡意程序病毒名稱、控制端URL地址等日志信息。6.5.5安全監(jiān)測(cè)指標(biāo)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的安全監(jiān)測(cè)指標(biāo)要求如下：a)互聯(lián)網(wǎng)惡意樣本產(chǎn)生的惡意事件(含主機(jī)受控事件、有害程序傳播事件)檢出成功率應(yīng)不低于95%。b)網(wǎng)絡(luò)攻擊事件檢出成功率應(yīng)不低于85%。c)樣本還原成功率應(yīng)不低于95%。d)惡意樣本檢出率應(yīng)不低于95%。e)惡意樣本檢出誤報(bào)率應(yīng)不高于5%。6.6指令協(xié)同內(nèi)容及指標(biāo)6.6.1惡意報(bào)文指令協(xié)同車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的惡意報(bào)文指令協(xié)同要求如下a)應(yīng)支持接收車聯(lián)網(wǎng)安全監(jiān)測(cè)平臺(tái)下發(fā)的惡意報(bào)文采集指令，并對(duì)指令內(nèi)容中的內(nèi)容進(jìn)行特征識(shí)別并按指令要求采集，識(shí)別內(nèi)容包括開(kāi)始時(shí)間、結(jié)束時(shí)間、源IP/源IP地址段、目的IP/目的IP地址段、源端口、目的端口、URL、域名、傳輸層協(xié)議類型(TCP、UDP、其他)、應(yīng)用層協(xié)議類型(見(jiàn)附錄A)、采集規(guī)則等。b)應(yīng)支持記錄的內(nèi)容至少包括指令I(lǐng)D、源IP地址、源端口、目的IP地址、目的端口、傳輸層協(xié)議、URL(若有)、事件時(shí)間、報(bào)文載荷片段、終端標(biāo)識(shí)等信息，且需要根據(jù)指令要求留存原始流量數(shù)據(jù)包(如PCAP格式),作為日志附件上報(bào)。6.6.2惡意樣本指令協(xié)同車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的惡意樣本指令協(xié)同要求如下：a)應(yīng)支持接收車聯(lián)網(wǎng)安全監(jiān)測(cè)平臺(tái)下發(fā)的惡意樣本采集指令，并識(shí)別指令內(nèi)容中的包括開(kāi)始時(shí)間、結(jié)束時(shí)間、源IP/源IP地址段、目的IP/目的IP地址段、URL、域名、惡意樣本哈希值等信息。b)應(yīng)支持采集流量中傳輸?shù)膼阂鈽颖疚募?，支持依?jù)采集指令對(duì)還原后的惡意樣本文件進(jìn)行采c)應(yīng)支持記錄的字段至少包括指令I(lǐng)D、源IP、目的IP、源端口、目的端口、傳輸層協(xié)議、發(fā)現(xiàn)時(shí)間、惡意樣本文件名、惡意樣本哈希值、惡意樣木文件等信息6.6.3指令協(xié)同指標(biāo)車聯(lián)網(wǎng)基礎(chǔ)電信網(wǎng)絡(luò)安全監(jiān)測(cè)數(shù)據(jù)采集的指令協(xié)同指標(biāo)要求如下：a)從接收車聯(lián)網(wǎng)安全監(jiān)測(cè)平臺(tái)的采集指令，到完成指令加載并執(zhí)行，時(shí)間間隔應(yīng)不超過(guò)1分b)從采集到滿足指令要求的安全事件，到生成事件日志上報(bào)至車聯(lián)網(wǎng)安全監(jiān)測(cè)平臺(tái)，時(shí)間應(yīng)不YD/T××××x-2021