CN117678195A - 移动无线电设备、用于操作移动无线电设备的方法和车辆 - Google Patents

移动无线电设备、用于操作移动无线电设备的方法和车辆 Download PDF

Info

Publication number
CN117678195A
CN117678195A CN202280049204.7A CN202280049204A CN117678195A CN 117678195 A CN117678195 A CN 117678195A CN 202280049204 A CN202280049204 A CN 202280049204A CN 117678195 A CN117678195 A CN 117678195A
Authority
CN
China
Prior art keywords
mobile radio
intrusion detection
radio device
network traffic
method comprises
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202280049204.7A
Other languages
English (en)
Inventor
O·艾丁
V·巴甫洛维奇
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mercedes Benz Group AG
Original Assignee
Mercedes Benz Group AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mercedes Benz Group AG filed Critical Mercedes Benz Group AG
Publication of CN117678195A publication Critical patent/CN117678195A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/40—Security arrangements using identity modules
    • H04W12/45—Security arrangements using identity modules using multiple identity modules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/30—Services specially adapted for particular environments, situations or purposes
    • H04W4/40—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P]
    • H04W4/44—Services specially adapted for particular environments, situations or purposes for vehicles, e.g. vehicle-to-pedestrians [V2P] for communication between vehicles and infrastructures, e.g. vehicle-to-cloud [V2C] or vehicle-to-home [V2H]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices
    • H04W88/06—Terminal devices adapted for operation in multiple networks or having at least two operational modes, e.g. multi-mode terminals

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明涉及一种移动无线电设备(1)，该移动无线电设备具有操作系统(2)和至少两个SIM配置文件(SIM1，SIM2)以提供多个相互独立的移动无线电连接，其中，通过至少一个移动无线电连接来与移动无线电网络(3.1，3.2)交换网络流量，并识别随网络流量传输的信息。根据本发明的移动无线电设备的特征在于，设有入侵检测系统(4.1)或入侵检测及防御系统(4.2)，该入侵检测系统(4.1)或该入侵检测及防御系统(4.2)被设置为识别至少随网络流量传输的信息，其中，入侵检测系统(4.1)或入侵检测及防御系统(4.2)在至少一个移动无线电连接接收的网络流量的信息流方向上布置在操作系统(2)上游。

Description

移动无线电设备、用于操作移动无线电设备的方法和车辆
技术领域
本发明涉及一种在权利要求1的序言中详细限定类型的移动无线电设备/移动通信设备，具有操作系统和至少两个SIM配置文件以提供多个相互独立的移动无线电连接/移动通信连接，还涉及一种用于操作这种移动无线电设备的方法以及一种具有移动无线电设备的车辆。
背景技术
计算机、移动终端设备、高性能计算机、分布式系统、数据库系统、嵌入式系统、测量系统等IT系统通常具有用于交互的各种接口。例如，可以通过人机界面与人进行交互，也可以在IT系统本身之间进行交互，其中，使用诸如互联网协议(IP)或传输控制协议(TCP)等通信协议。这些接口使入侵者能够入侵IT系统。此类入侵的目标通常是影响IT系统的正常运行、获得未经授权的访问、破坏或瘫痪IT系统、窃取或篡改关键信息等。IT系统经常被恶意软件感染或入侵。例如，恶意软件可以是病毒、间谍软件、广告软件、僵尸网络等。IT系统操作员通常感兴趣的是尽可能可靠地保护正在运行的IT系统免受此类入侵。
移动无线电设备越来越多地集成到车辆中，以便能够进行数据交换，例如用于与车辆制造商传输诊断数据。这样的移动无线电设备还可以配备多个SIM配置文件，例如以多个SIM卡和/或存储在存储设备上的多个编码的SIM签名的形式。附加SIM配置文件的提供允许客户或第三方SIM配置文件的集成，与值得信赖的制造商SIM配置文件相比，这些配置文件可以相对容易地用于损害移动无线电设备。例如，通过入侵者操作的移动无线电网络，例如通过被操纵的家庭基站/飞蜂窝(Femtozelle)操作的移动无线电网络，恶意数据包可以被带入到移动无线电设备中，并用于在移动无线电设备或车辆的另一个计算单元上执行恶意软件。
从一般的现有技术中，通常已知用于保护IT系统的各种硬件和/或软件解决方案。其中例如包括防火墙、防病毒程序、入侵检测系统，也称为Intrusion-Detection-System(IDS)，以及入侵检测及防御系统，也称为Intrusion-Prevention-System(IPS)。入侵检测系统或入侵检测及防御系统用于检测和/或防御针对计算机系统和/或计算机网络的入侵。这样的系统通常在待监视的硬件上运行和/或直接集成到防火墙中。除了基于主机的入侵检测系统和基于网络的入侵检测系统之外，混合系统也是众所周知的。为了检测入侵，根据已知的入侵模式分析由入侵检测系统或入侵检测及防御系统监视的数据和/或被监视的网络流量。为此，相应的系统包括具有已知的入侵模式的模式数据库。如果检测到这样的入侵模式，相应的入侵检测系统就会发出警报。借助于启发式方法和统计分析，以前未知的入侵也可以被检测到。一种入侵检测及防御系统此外还能够丢弃数据包、中断通信链路和/或修改传输的数据。
从WO 2014/105309 A1中已知一种用于将网络信息与移动网络环境中的参与者信息相关联的系统和方法。在这个过程中，从诸如因特网、内联网、VPN等的网络接收到的数据包由网络安全平台借助于深度包检查进行检查。借助于网络安全平台和深度包检查，无线网络运营商能够创建该移动网络的参与者的行为配置文件，并将特定的网络事件，例如访问特定的网站、运行特定的应用程序、接收和/或发送特定的数据等与特定的网络参与者相关联。通过这种方式，可以有针对性地阻止来自该移动网络的参与者或由该移动网络的参与者发起的入侵。例如，可以检测到并防止恶意软件的下载，或者可以检测到或停止网络参与者与安全关键网站的通信。网络安全平台由移动网络环境运营商运营，使得移动网络环境的个体参与者对分配给个体参与者的用户行为配置文件没有影响。换句话说，移动网络环境运营商有能力监视和控制参与者。
发明内容
本发明的基本目的是指定一种特别安全操作的移动无线电设备，具有操作系统和至少两个SIM配置文件以提供多个相互独立的移动无线电连接。
根据本发明，该目的由具有权利要求1的特征的具有操作系统和至少两个SIM配置文件以提供多个相互独立的移动无线电连接的移动无线电设备来实现。有利的设计方案和改进方案以及用于操作这种移动无线电设备的方法和具有这种移动无线电设备的车辆由从属权利要求中产生。
在具有操作系统和至少两个SIM配置文件以提供多个相互独立的移动无线电连接的移动无线电设备中，根据本发明提供了一种入侵检测系统或入侵检测及防御系统，其被设置为识别至少随网络流量/网络通信传输的信息，其中，入侵检测系统或入侵检测及防御系统在至少一个移动无线电连接接收的网络流量的信息流方向上布置在操作系统上游。
通过在信息流方向上在操作系统上游设置的入侵检测系统或入侵检测及防御系统，移动无线电设备能够特别安全地运行。因此，利用入侵检测系统或入侵检测及防御系统，由于在信息流方向上设置在操作系统上游，能够特别早地发现入侵。相应地，能够较早地对入侵作出合适响应。因此，即使在网络接口，接口驱动程序和操作系统的IP堆栈受到入侵的情况下，移动无线电设备也能受到保护。通常，入侵检测系统或入侵检测及防御系统集成到防火墙或操作系统中。然而，这种集成的入侵检测或防御方案具有有限的监视能够和过滤到达的数据包的能力。此外，主机操作系统必须对要分析的数据包进行处理，入侵检测或防御系统才能检测入侵，从而使操作系统本身暴露在可能的入侵风险中。但是，如果在信息流方向上在操作系统上游检查网络流量所包含的数据包，那么操作系统也不能受到入侵。
借助于入侵检测系统可以在检测到入侵的情况下发出警告。而借助于入侵检测及防御系统则可以直接由移动无线电设备本身启用适当的措施来遏制或防止入侵。
移动无线电设备至少有两个移动无线电连接。借助于入侵检测系统或入侵检测及防御系统，可以有选择地检测针对各个移动无线电连接的入侵。这允许对通过相应移动无线电连接进行的入侵做出专门响应。因此，对第一移动无线电连接上的安全入侵的响应可以不同于对第二移动无线电连接上的安全入侵的响应。此外，在通过第一移动无线电连接进行入侵时，可以通过至少第二移动无线电连接确保移动无线电设备的安全运行。因此，通过及早发现安全入侵和对其做出响应，可以限制、防止移动无线电设备被操纵和/或防止出于安全原因而关闭移动无线电设备。
对于通信，任何无线电技术，如移动无线电、WiFi等，通常可以由移动无线电设备使用。为此，可以使用任何移动无线电或通信标准，如2G-5G或未来的通信标准。例如，可以通过至少一个移动无线电连接提供WLAN电话。相应的无线网络可以由诸如移动无线电塔或家庭基站的固定基站和/或诸如卫星、无人机、气球等的移动站提供。
移动无线电设备的一种有利的改进方案提出，防火墙布置在网络流量的信息流方向上在入侵检测系统或入侵检测及防御系统的下游。通过提供防火墙，移动无线电设备的操作更加安全。由于防火墙位于入侵检测系统或入侵检测及防御系统的下游，且这些相应系统没有被集成到防火墙中，因此可以更全面地执行入侵检测系统或入侵检测及防御系统的功能。因此，可以对移动无线电设备进行更安全的保护。
根据移动无线电设备的另一有利的设计方案，入侵检测系统或入侵检测及防御系统被设置为监视、控制和/或过滤网络流量。通过监视网络流量，可以检测到危险的数据包以及入侵模式。在此过程中，可以有针对性地详细检查即控制单个数据包或网络流量的各单个构建块(Bausteine)。例如，可以在安全环境(如虚拟机)中运行单个代码段，并检查其影响。类似地，可以阻止单个网络流量构建块或数据包转发到操作系统或防火墙，即过滤网络流量。例如，可以阻止向操作系统和/或在信息流方向上在移动无线电设备下游的计算单元转发危险数据包和/或检测和防止拒绝服务(DOS)入侵。
移动无线电设备的另一有利的设计方案进一步提出，入侵检测系统或入侵检测及防御系统集成到调制解调器中。借助于调制解调器，移动无线电设备与移动无线电网络建立通信。通过将入侵检测系统或入侵检测及防御系统集成到调制解调器中，因此可以特别早地研究和/或影响移动无线电设备中的网络流量。这使得移动无线电设备更可靠地受到防入侵保护。为了在调制解调器中提供入侵检测系统或入侵检测及防御系统，该相应系统可以单独通过软件即作为软件模块集成到调制解调器中。也可以设想调制解调器具有附加硬件，例如存储设备和/或执行设备，例如处理器，这些设备单独分配给入侵检测系统或入侵检测及防御系统的功能。此外，在信息流方向上，相应的入侵检测系统或入侵检测及防御系统在调制解调器的下游，这通常也是可能的。
根据移动无线电设备的另一有利的设计方案，深度包检查模块集成到入侵检测系统或入侵检测及防御系统中。除了检查数据包的报头部分外，深度包检查还允许检查其内容。这使得能够对网络流量进行更全面和更安全的分析。此外，还可以借助于深度包检查来调节数据流。通过提供额外的安全证书，加密的数据流也可以在必要时被破解和分析。
优选地，移动无线电设备被设计为车辆的移动终端设备或电信模块/远程通信模块。如今，智能手机、平板电脑、笔记本电脑等移动终端设备应用广泛。通过根据本发明的移动无线电设备的这种移动终端设备的实施方案，这种终端设备可以更加安全地运行。通过高传播，可以保护特别多的用户。随着数字化的推进，车辆也越来越多地联网。例如，借助于电信模块，车辆可以向车辆制造商传输用于研究及开发目的的诊断参数，接收用于交通数据、天气报告等舒适服务的数据，或者接收用于控制设备的固件或软件更新。通过根据本发明的移动无线电设备的这种电信模块的实施方案，可以更可靠地保护这样的车辆免受入侵。
这对于自动化或自主控制的车辆，如自主卡车，特别重要。例如，这种自主车辆可以从车辆控制中心接收控制命令。因此，可以设想，通过入侵这种车辆的电信模块，被操纵的控制命令被发送到车辆，使其卷入事故或被引导到不同的目的地，例如，为了从自主卡车中偷走货物。然而，通过作为根据本发明的移动无线电设备的电信模块的实施方案，成功实施这种入侵的可能性被最小化。
为了与车辆制造商通信，这样的电信模块具有分配给车辆制造商的SIM配置文件。通常，车辆制造商与移动无线电网络运营商商定诸如一次性或常规费用、数据带宽、每单位时间发送或接收的最大允许数据量等条件。具有至少两个SIM配置文件的电信模块的车辆的购买者能够在电信单元/远程通信单元中提供私人的SIM配置文件。这使得能够独立于车辆制造商与电信公司的商定条件来使用移动通信。然而，提供私人的客户SIM配置文件使得有可能在电信单元中实施被操纵的SIM配置文件。然而，由于本发明的移动无线电设备能够独立地监视和控制多个移动无线电连接，因此可以特别严格地控制和管理通过客户的SIM配置文件发生的网络流量，而通过车辆制造商的SIM配置文件的网络流量可以继续不受干扰地运行。
在用于操作如上所述的移动无线电设备的方法中，在检测到对移动无线电设备的安全威胁之后，操作系统被重新配置以根据安全威胁调整系统行为和/或限制在信息流方向上在移动无线电设备下游的至少一个硬件和/或软件组件的功能。
通过重新配置操作系统，尽管检测到安全威胁，仍可维持移动无线电设备的运行。特别是，如果入侵发生在第一移动无线电连接上，则网络流量可以通过至少第二移动无线电连接继续运行。在入侵场景中由入侵检测系统或入侵检测及防御系统执行的相应措施可以存储在入侵检测系统或入侵检测及防御系统的措施数据库中。也可以在对第一移动无线电连接进行入侵的情况下，通过至少第二移动无线电连接从移动无线电设备接收用于对入侵做出充分响应的新指令。因此可以通过不被入侵的移动无线电连接关闭安全漏洞，并对新的且以前未知的威胁快速做出响应。此外，为了针对已发生的入侵选择适当的响应，可以首先与中央计算单元进行协调，例如与车辆制造商的后端。
除了重新配置操作系统外，下游的硬件和/或软件组件的操作方式也可以改变。移动无线电设备的下游的硬件组件可以是车辆的计算单元。例如，其可以是中央车载计算机、车辆子系统的控制设备、远程信息处理单元等。软件组件可以是在这样的相应计算单元上运行的软件，例如导航应用程序、无线电应用程序、阀控制程序、用于调整任何调节器行为的程序等。由此制定更全面的措施，对潜在的入侵做出充分响应。
方法的有利的改进方案提出，调整系统行为，使移动无线电设备记录事件和/或信息，限制或停用移动无线电设备提供的至少一个功能并且/或者改变用于转发网络流量的选定路径。通过事件和信息的记录或日志，可以从日志数据中重建或检测入侵。由移动无线电提供和限制的功能可以是例如拨打紧急呼叫、车辆紧急呼叫、拨打电话、接收或发送短信和/或通过移动无线电发送和/或接收数字数据。例如，限制可以是通过电话和/或短信只能联系一定数量的通信伙伴。然而，如果功能被停用，则根本不可能拨打电话和/或发送短信。此外，可以设想在安全测试环境中，例如在虚拟机中，在将相应的网络流量转发到移动无线电设备的下游的硬件和/或软件组件之前，测试通过移动无线电连接接收的数据包的功能或内容的正确性。
由入侵检测系统或入侵检测及防御系统向移动无线电设备发出的用于重新配置其操作系统的指令可以以多种方式实现。例如，可以采取有针对性的措施来操纵七个OSI层之一上的网络流量。在这种情况下，移动无线电设备可以在应用层，也称为Application-Layer，进行有针对性的操纵。也可以在应用层的上游的一个OSI层上影响网络流量。为此，与移动无线电网络运营商进行相应的交换。因此，例如，当通过移动无线电设备的未受入侵的移动无线电连接检测到被操纵的网络流量时，移动无线电网络运营商可以向移动无线电设备发送关于重新配置操作系统或限制或停用特定功能的指令。
根据本发明方法的另一有利的设计方案，在检测到对移动无线电设备的安全威胁之后，限制至少一个移动无线电连接的功能。如果入侵是通过第一移动无线电连接进行的，则入侵所需的移动无线电功能，即发送和/或接收特定数据包，可以被限制或阻止。然而，通过至少另一移动无线电连接的移动无线电通信可以不受干扰地继续进行。例如，如果入侵是通过被操纵的SIM配置文件进行的，则移动无线电通信可以通过车辆制造商的SIM配置文件不受干扰地继续运行。这确保诊断数据可以继续发送到车辆制造商和/或例如，控制命令可以由车辆接收。此外例如可以限制通过第一移动无线电连接(例如通过客户连接)的车辆紧急呼叫、电话、短信、数据交换等功能中的至少一个，并且这些功能可以通过第二移动无线电连接(例如通过制造商连接)继续运行。
优选地，当移动无线电设备接收到触发消息(Trigger)，特别是通过第二移动无线电连接接收到触发消息时，调节/停止(einstellen)通过第一移动无线电连接交换的网络流量。通过在入侵情况下调节网络流量，可以特别可靠地针对入侵保护移动无线电设备。由于移动无线电设备具有多个移动无线电连接，当至少一个移动无线电连接的功能被限制或停用时，仍可以通过仍然开放的移动无线电连接接收用于调节网络流量的相应的触发消息。例如，可以调节通过客户的SIM配置文件的网络流量，而通过车辆制造商的SIM配置文件的网络流量可以继续运行。触发消息可以由车辆制造商、服务提供商、移动无线电网络运营商等发送到移动无线电设备。例如，如果入侵检测系统检测到对移动无线电设备的入侵，则可以通过未发生入侵的移动无线电连接来与授权机构例如车辆制造商、IT安全公司、移动无线电网络运营商等共享该信息，然后相关方分析该猜测的入侵。如果错误地认定了入侵，也称为误报(Falsch-Positiv)，则网络流量可以通过该猜测受到入侵的移动无线电连接继续运行。另一方面，如果确实是入侵，则可以通过相应的未被入侵的移动无线电连接发送用于关闭通过被入侵的移动无线电连接的网络流量的触发消息。
根据本发明，车辆包括如前所述的电信模块。车辆可以是任意车辆，例如汽车、卡车、厢式货车、公共汽车等。车辆可以具有内燃机和/或电力驱动装置。车辆也可以手动控制、至少部分自动化或自主控制。借助于本发明的电信模块，可以特别安全地操作相应的本发明车辆。
附图说明
根据本发明的移动无线电设备和车辆的进一步有利的设计方案也从实施例中得到，其将在下文中参照附图更详细地描述。
其中：
图1示出了根据本发明的移动无线电设备的示意图；和
图2示出了具有电信模块的形式的本发明的移动无线电设备的本发明的车辆的示意图。
具体实施方式
图1示出了本发明的移动无线电设备1，具有多个移动无线电连接，每个移动无线电连接分配有单独的SIM配置文件SIM1、SIM2。借助于移动无线电连接，移动无线电设备1能够与多个移动无线电网络3.1、3.2通信。在移动无线电设备1和移动无线电网络3.1、3.2之间交换的网络流量通过OEM数据路径10.OEM和最终用户数据路径10.EN运行。
由移动无线电设备1所包括的调制解调器6接收网络流量。调制解调器6又包括入侵检测系统4.1或入侵检测及防御系统4.2。相应的入侵检测系统4.1或入侵检测及防御系统4.2识别随网络流量传输的信息。入侵检测系统4.1或入侵检测及防御系统4.2还可包括深度包检查模块7，以通过深度包检查的方式对网络流量进行检查。此外，入侵检测系统4.1或入侵检测及防御系统4.2在一个有利的实施方案中不仅可以监视网络流量，而且还可以控制和/或过滤网络流量。
在信息流方向上在调制解调器6下游，移动无线电设备1具有操作系统2。操作系统2还可以包括防火墙5。在移动无线电设备1上，可以借助于操作系统2执行诸如OEM功能11.OEM和/或最终用户功能11.EN的功能。例如，OEM功能11.OEM是一种计算机程序产品，其收集车辆诊断数据，必要时对其进行处理，并通过其中一个移动无线电连接将其发送给车辆制造商。例如，最终用户功能11.EN是提供聊天功能的计算机程序产品。最终用户功能11.EN通常由在单独的硬件上例如在车辆的计算单元13或最终用户的移动终端设备上运行的软件提供。
在最终用户数据路径10.EN上在信息流方向上，在最终用户功能11.EN的上游设有路由模块12，用于有针对性地选择路径以转发网络流量。
如果入侵检测系统4.1或入侵检测及防御系统4.2检测到对移动无线电设备1的入侵，则调整移动无线电设备1或操作系统2的系统行为以响应于该入侵。这种重新配置在图1中用虚线箭头表示。例如，可以启动事件和/或信息的日志记录，限制或停用移动无线电设备1的功能，特别是通过单独的移动无线电连接提供的功能，并且/或者改变用于转发网络流量的选定路径。为此，可以调整防火墙5、SIM配置文件SIM1、SIM2和OEM功能11.OEM的属性和设置。
此外，在移动无线电设备1的下游可以设有计算单元13。这可以是例如个人计算机、控制设备、车辆的远程信息处理单元等。类似于移动无线电设备1，也可以在计算单元13上执行OEM功能11.OEM和/或最终用户功能11.EN。
图2示出了以电信模块8的形式将这种本发明的移动无线电设备1集成到本发明的车辆9中。通过提供至少两个SIM配置文件SIM1、SIM2，电信模块8在两个SIM配置文件SIM1、SIM2上同时操作，准备接收和发送。为了提供SIM配置文件SIM1、SIM2，可以使用多个SIM插槽将多个SIM卡集成到移动无线电设备1中。通常，还可以在单个SIM卡和/或电信模块8的任何存储设备上提供多个SIM配置文件SIM1、SIM2。提供至少第二SIM配置文件SIM2使得除OEMSIM配置文件外还能使用最终用户SIM配置文件。因此，最终用户能够在电信模块8中提供被操纵的SIM配置文件。通过这种方式，被操纵的数据包可以被带入到电信模块8中，并且该模块，即车辆9被入侵。然而，借助作为本发明的移动无线电设备1设计的电信模块8，可以检测和根据需要遏制或阻止此类入侵。为此，例如，可以限制或停用移动无线电设备1的功能。此外，可以终止经由至少一个移动无线电连接的完整通信。

Claims (11)

1.一种移动无线电设备(1)，所述移动无线电设备具有操作系统(2)和至少两个SIM配置文件(SIM1，SIM2)以提供多个相互独立的移动无线电连接，其中，通过至少一个移动无线电连接来与移动无线电网络(3.1，3.2)交换网络流量，并识别随所述网络流量传输的信息，其特征在于，
设有入侵检测系统(4.1)或入侵检测及防御系统(4.2)，该入侵检测系统(4.1)或该入侵检测及防御系统(4.2)被设置为识别至少随所述网络流量传输的信息，其中，所述入侵检测系统(4.1)或所述入侵检测及防御系统(4.2)在至少一个移动无线电连接接收的网络流量的信息流方向上布置在所述操作系统(2)上游。
2.根据权利要求1所述的移动无线电设备(1)，
其特征在于，
防火墙(5)布置在信息流方向上在所述入侵检测系统(4.1)或所述入侵检测及防御系统(4.2)的下游。
3.根据权利要求1或2所述的移动无线电设备(1)，
其特征在于，
所述入侵检测系统(4.1)或所述入侵检测及防御系统(4.2)被设置为监视、控制和/或过滤网络流量。
4.根据权利要求1至3中任一项所述的移动无线电设备(1)，
其特征在于，
所述入侵检测系统(4.1)或所述入侵检测及防御系统(4.2)集成到调制解调器(6)中。
5.根据权利要求1至4中任一项所述的移动无线电设备(1)，
其特征在于，
深度包检查模块(7)集成到所述入侵检测系统(4.1)或所述入侵检测及防御系统(4.2)中。
6.根据权利要求1至5中任一项所述的移动无线电设备(1)，
其特征在于，
采用作为车辆(9)的移动终端设备或电信模块(8)的实施方案。
7.一种用于操作根据权利要求1至6中任一项所述的移动无线电设备(1)的方法，
其特征在于，
在检测到对所述移动无线电设备(1)的安全威胁之后，所述操作系统(2)被重新配置以根据安全威胁调整系统行为和/或限制在信息流方向上在所述移动无线电设备(1)下游的至少一个硬件组件和/或软件组件的功能。
8.根据权利要求7所述的方法，
其特征在于，
调整系统行为，使所述移动无线电设备(1)记录事件和/或信息，限制或停用所述移动无线电设备(1)提供的至少一个功能并且/或者改变用于转发所述网络流量的选定路径。
9.根据权利要求7或8所述的方法，
其特征在于，
在检测到对所述移动无线电设备(1)的安全威胁之后，限制至少一个移动无线电连接的功能。
10.根据权利要求9所述的方法，
其特征在于，
当所述移动无线电设备(1)接收到触发消息，特别是通过第二移动无线电连接接收到触发消息时，调节通过第一移动无线电连接(1)交换的网络流量。
11.一种车辆(9)，
其特征在于，
设有根据权利要求6所述的电信模块(8)。
CN202280049204.7A 2021-07-13 2022-06-30 移动无线电设备、用于操作移动无线电设备的方法和车辆 Pending CN117678195A (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
DE102021003596.8A DE102021003596A1 (de) 2021-07-13 2021-07-13 Mobilfunkgerät, Verfahren zum Betreiben eines Mobilfunkgeräts und Fahrzeug
DE102021003596.8 2021-07-13
PCT/EP2022/068013 WO2023285150A1 (de) 2021-07-13 2022-06-30 Mobilfunkgerät, verfahren zum betreiben eines mobilfunkgeräts und fahrzeug

Publications (1)

Publication Number Publication Date
CN117678195A true CN117678195A (zh) 2024-03-08

Family

ID=82655093

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202280049204.7A Pending CN117678195A (zh) 2021-07-13 2022-06-30 移动无线电设备、用于操作移动无线电设备的方法和车辆

Country Status (5)

Country Link
EP (1) EP4275329A1 (zh)
KR (1) KR20240016367A (zh)
CN (1) CN117678195A (zh)
DE (1) DE102021003596A1 (zh)
WO (1) WO2023285150A1 (zh)

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2310938A4 (en) 2008-06-29 2014-08-27 Oceans Edge Inc FIREWALL FOR MOBILE TELEPHONE, SYSTEM AND METHOD FOR COMPLIANCE
US9191823B2 (en) 2012-06-29 2015-11-17 GSMK Gesellschaft für sichere mobile Kommunikation mbH Mobile device and method to monitor a baseband processor in relation to the actions on an applicaton processor
US9185093B2 (en) 2012-10-16 2015-11-10 Mcafee, Inc. System and method for correlating network information with subscriber information in a mobile network environment
US9894601B2 (en) * 2015-08-18 2018-02-13 Ford Global Technologies, Llc System and method for dynamic wireless carrier swap system
DE102017128063A1 (de) * 2017-11-28 2019-05-29 Peiker Acustic Gmbh & Co. Kg Verfahren zur Erfassung von Leistungskennzahlen von Kommunikationsnetzwerken und Telematikeinheit
US20200274851A1 (en) * 2019-02-22 2020-08-27 Juniper Networks, Inc. Full featured packet-based automotive network security gateway

Also Published As

Publication number Publication date
EP4275329A1 (de) 2023-11-15
DE102021003596A1 (de) 2023-01-19
WO2023285150A1 (de) 2023-01-19
KR20240016367A (ko) 2024-02-06

Similar Documents

Publication Publication Date Title
US11848947B2 (en) System and method for providing security to in-vehicle network
EP2850803B1 (en) Integrity monitoring to detect changes at network device for use in secure network access
US20190104108A1 (en) Host behavior and network analytics based automotive secure gateway
KR102524204B1 (ko) 차량용 네트워크의 침입 대응 장치 및 방법
US20130283376A1 (en) System and method for security analysis based on multiple protocols
EP2260426A2 (en) Multi-tier security event correlation and mitigation
WO2021131193A1 (ja) 攻撃監視用センター装置、及び攻撃監視用端末装置
WO2021162473A1 (ko) 차량 내 네트워크에 대한 침입 탐지를 위한 시스템 및 방법
US20220182404A1 (en) Intrusion path analysis device and intrusion path analysis method
CN115150208B (zh) 一种基于零信任的物联网终端安全接入方法及系统
US8763121B2 (en) Mitigating multiple advanced evasion technique attacks
JP7439669B2 (ja) ログ分析装置
Nilsson et al. Creating a secure infrastructure for wireless diagnostics and software updates in vehicles
Fallstrand et al. Applicability analysis of intrusion detection and prevention in automotive systems
Möller et al. Automotive cybersecurity
US11528284B2 (en) Method for detecting an attack on a control device of a vehicle
CN113411296B (zh) 态势感知虚拟链路防御方法、装置及系统
CN117678195A (zh) 移动无线电设备、用于操作移动无线电设备的方法和车辆
Efstathiadis et al. Smart cars and over-the-air updates
CN112929373B (zh) 一种内网设备防护方法
Chen et al. Classified security protection evaluation for vehicle information system
Zhang et al. Securing connected vehicles end to end
Kayser et al. Next-Generation Transportation Vulnerabilities
CN116094872A (zh) 一种机载零信任安全网关及网络访问方法
Rashmi Intrusion Detection System: An Approach to Autonomous Vehicles

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination