汽车网络信息安全-基本工作流程描述

最新推荐文章于 2025-04-21 10:15:06 发布

原创最新推荐文章于 2025-04-21 10:15:06 发布 · 1k 阅读

23 ·

CC 4.0 BY-SA版权

文章标签：

#汽车 #cybersecurity #网络信息安全

汽车网络信息安全CyberSecurity 专栏收录该内容

23 篇文章

订阅专栏

汽车信息安全概述

随着汽车网联化和智能化，汽车不再孤立，越来越多地融入到互联网中。同时，汽车也慢慢成为潜在的网络攻击目标。

信息安全和功能安全的区别：

• 功能安全是保护人为目的的

• 信息安全是反过来保护车辆系统的

信息安全需求开发

1.1 相关项定义

明确分析范围，包括包括但不限于：

● 系统架构图

● 功能描述及功能清单

● 边界

● 数据流图

● 假设

● 约束: 对于需要考虑的客观情况，比如不是所有的ECU都能部署硬件安全模块（HSM），比如法规要求、标准的要求等，也需要一一列出，即约束。

1.2 TARA

1.2.1 资产识别

资产是被识别出的需要被保护的任何数据，功能或者资源，分析对象的不同，资产也会有所不同。

资产可分为实体资产、数据资产（包括ECU固件、通讯数据、用户隐私数据、安全算法等）。识别资产所带有的网络安全属性（Cybersecurity Properties）得到带有网络安全属性的资产，进一步可分析其潜在的损害场景（Damage Scenarios，DS）

STRIDE模型

首字母	威胁	安全属性	描述	对应安全措施
S	Spoofing欺骗	Authenticity真实性	攻击者通过伪造身份来欺骗用户或系统。	身份验证
T	Tampering篡改	Integrity完整性	完整性确保某些数据(例如，消息或存储的数据)没有以任何方式改变。	数字签名
R	Repudiation否认	Non-repudiation 不可抵赖	攻击者否认自己的行为。	日志，数字证书
I	Information Disclosure 信息泄露	Confidentiality 机密性	机密性确保只有经过授权的实体才能读取数据，因此明确禁止未经授权的实体窃听，例如，受限制的信息	加密
D	Denial of Service 拒绝服务	Availability可用性	攻击者使系统或服务不可用。	备份、冗余
E	Elevation of Privilege 提升权限	Authorization授权	授权确保特定实体、功能或数据只能由授权用户或实体使用权。攻击者获得超出其权限的访问权限。	访问控制，权限管理

输出：

带有网络安全属性的资产
分析其潜在的损害场景（Damage Scenarios，DS）

损害场景 = 破坏资产X的安全属性Y后可能导致的损害

1.2.2 影响等级评估

对于影响等级的评定可从以下四个评判因子：Safety 安全、Financial 财产、Operational 操作、Privacy 隐私（S、F、O、P）来评定DS的危害影响。每个评判因子评级分为四档：Severe 严重的、Major 重大的、Moderate 中等的、Negligible 微不足道的。

Impact Level	Safety	Financial	Operability	Privacy
Impact Level	Decription	Decription	Decription	Decription
Severe	S3: 威胁生命的伤害（生存不确定），致命的伤害	经济损失导致的灾难性后果，受影响的道路使用者可能无法克服。	操作上的损坏导致了车辆核心功能的丧失或受损。例子1 车辆不工作或显示出核心功能的意外行为，如启用跛行回家模式或自主驾驶到一个非预期的地点。	隐私的损害导致了对道路使用者的重大甚至不可逆转的影响。有关道路使用者的信息是高度敏感的，很容易与PII主体联系起来。
Major	S2: 严重和有生命危险的伤害（可能存活）。	经济损失导致了受影响的道路使用者能够克服的实质性后果。	操作上的损坏导致一个重要的车辆功能的损失或损害。例2 驾驶员的严重烦扰。	隐私损害导致对道路使用者的严重影响。有关道路使用者的信息是 a) 高度敏感且难以与PII主体相联系；或 b) 敏感且容易与PII主体相联系.
Moderate	S1: 轻度和中度受伤	经济损失导致不便的后果，受影响的道路使用者将能够用有限的资源来克服。	操作上的损坏导致车辆功能的部分退化。例子3 用户满意度受到负面影响。	隐私损害导致道路使用者不方便的后果。有关该道路使用者的信息是 a) 敏感但很难与PII主体联系起来；或 b) 不敏感，但容易与PII主体相联系。
Negligible	S0: 没有受伤	经济损失导致没有影响，后果可忽略不计或与道路使用者无关。	操作上的损坏导致车辆功能的无损或不可察觉的损害。	隐私损害没有导致任何影响或，可忽略不计的后果或与道路使用者无关。有关该道路使用者的信息不敏感，且难以与PII主体相联系.

1.2.3 威胁场景识别

威胁场景是资产被破坏的原因，同时也是损害场景的原因。

威胁场景 = 何种方式破坏资产X的安全属性Y

1.2.4 攻击路径分析

攻击树

1.2.5 攻击可行性评估

攻击潜力方法对攻击路径实现的难易程度评估分为四个等级：High、Medium、Low、Very Low，主要从以下五个角度考虑：

经历时长（Elapsed Time)，指基于专家知识来识别漏洞到最后利用漏洞所花费的时间；
专业知识（Specialist Expertise），指攻击者的能力包括技能、经验等；
对象或组件的知识（Knowledge of the Item or Component），指攻击者对于对象和组件所需要的信息；
窗口期（Window of Opportunity），指能够成功攻击的条件因素；
设备（Equipment），指攻击者发现漏洞或执行攻击所需要的工具。

Parameters	Description	Enumerate	Explain	More Comments or Example
Elapsed Time	The elapsed time parameter includes the time to identify a vulnerability and develop and (successfully) apply an exploit. Therefore, this rating is based on the state of expert knowledge at the time of rating	≤1 day	Identifying vulnerabilities, developing and attacking successfully takes a very short time	识别漏洞、开发和攻击成功需要极短的时间
		≤1 week	A relatively short period of time to identify vulnerabilities, develop and attack successfully	识别漏洞、开发和攻击成功需要比较短的时间
		≤1 month	Several months to identify vulnerabilities, develop and attack successfully	识别漏洞、开发和攻击成功需要几个月的时间
		≤6 months	Longer time to identify vulnerabilities, develop and attack successfully	识别漏洞、开发和攻击成功需要较长的时间
		>6 months	Identifying vulnerabilities, developing and attacking successfully takes a particularly long time	识别漏洞、开发和攻击成功需要特别长的时间
Specialist Expertise	The expertise parameter is related to the capabilities of the attacker, relative to their skill and experience	Layman	Layman is unknowledgeable compared to experts or proficient persons, with no particular expertise; Examples may include persons who can only follow simple instructions that come with the available tools to mount simple attacks, but not capable of making progresses himself/herself if the instructions or the tools do not work as expected.	没有专业知识，涉猎较浅。如:只会遵从可用工具或设备附带的简单的指导书的知道而去进行简单的攻击的工程师，一旦指导书或工具未按照预期的进行，就无法开展后续的工作。
		Proficient	Proficient persons have general knowledge about the security field and are involved in the business, for example, workshop professionals. Proficient persons know about simple and popular attacks. They are capable of mounting attacks, for example, odometer tuning and installing counterfeit parts, by using available tools and if required, are capable of improvising to achieve the desired results.	具有安全领域的专业知识，并参与过业务，对系统的类型和安全行为比较熟悉，能够发动简单的攻击。如:通过使用可用的工具调整里程表和安装假冒部件
		Expert	Expert is familiar with the underlying algorithms, protocols, hardware, structures, security behaviour, principles and concepts of security employed, techniques and tools for the definition of new attacks, cryptography, classical attacks for the product type, attack methods, etc. implemented in the product or system type	熟悉底层算法、协议、硬件、结构、安全行为、安全准则并能够使用工具和技术构造新的攻击方法和加密技术等
		Multiple Experts	The level “Multiple Experts” is introduced to allow for a situation, where different fields of expertise are required at an Expert level for distinct steps of an attack.	对于一个真实完整的攻击过程，攻击链路各节点需涉及多个不同领域的专家水平
Product Knowledge	The knowledge of the item or component parameter is related to the amount of information the attacker has acquired about the item or component	Public	Available from the product homepage, on the Internet or from information not restricted by a confidentiality agreement	可以从产品主页、互联网上或无保密协议限制的信息中获得
		Restricted	Distributed only within the developer, with a signed NDA for the shared parts. For example: documents shared between OEMs and suppliers (requirements, design specifications, etc.)	仅在开发者内部传播，共享部分签订保密协议。如:OEM和供应商之间共享的文档(需求、设计规范等)
		Confidential	Distributed only among specific teams or specific members within the developer. e.g. source code	仅在开发者内特定团队或特定成员间传播。如:源代码
		Strictly Confidential	Only known to a few members, strictly controlled by core technical and managerial staff, and access to which requires strict control and auditing. e.g., internal documentation describing customer-related calibrations or memory layouts, root keys, signing keys, etc.	仅有个别成员知晓，严格的控制在核心技术人厌和管理人员的范围内，并且访问需要严格的控制和审计。如:内部文档描述的客户相关标定或内存布局，根密钥、签名密钥等
Window of Opportunity	The window of opportunity parameter is related to the access conditions (time, type) to successfully perform an attack. It combines access type (e.g. logical and physical) and access duration (e.g. unlimited and limited). Depending on the type of attack this might include discovery of possible targets, access to a target, exploit works on the target, time to perform attack on a target, remaining undiscovered, circumventing detections and cybersecurity controls, etc.	Unlimited	High availability via public/untrusted network without any time limitation (i.e., TOE/asset is always accessible). Logical or remote access without physical presence and time limitation as well as unlimited physical access to the TOE/asset. Examples include wireless or via Internet (e.g., V2X or cellular interfaces).	攻击可以在任何时刻进行，不需要物理接触或是没有时间限制的远程访问，以及不受限的物理访问。如:通过无线或网络接口访问
		Easy	High availability and limited time. Logical or remote access without physical presence.	不需要物理接触的远程访问，以及受限的物理接触。如:进入没有锁门的车辆，访问暴露的物理接口，或是需要车辆处于静止状态的远程攻击
		Moderate	Low availability of the TOE. Limited physical and/or logical access to the TOE. Physical access to vehicle interior or exterior without using any special tool (e.g., opening the hood to access wires).	受限的物理访问或本地访问。物理访问不需要使用任何专业工具
		Difficult	Very low availability of the TOE. Physical access required to perform complex disassembly of vehicle parts to access internals to mount an attack on the TOE.”	找不到适合的攻击窗口(因为需要的时间太长了，或者执行攻击的目标数太多了)
Equipment	The equipment parameter is related to the tools the attacker has available to discover the vulnerability and/or to execute the attack	Standard	An attacker can readily use a "standard" device to identify a vulnerability or attack, which may be part of the TOE itself (e.g., a debugger in an operating system) or may be readily available (e.g., an Internet download, a protocol analyzer, or a simple attack script). Examples include simple OBD diagnostic devices, common IT devices, such as laptops.	攻击者可以随时使用“标准”设备，以识别漏洞或攻击，这种设备可能是TOE本身的一部分(例如操作系统中的调试器)，也可能很容易获得(例如互联网下载、协议分析器或简单的攻击脚本)。例子包括简单的OBD诊断设备，常见的IT设备，如笔记本电脑。
		Specialized	Devices that are not available to the attacker, easily purchased and relatively simple to operate, such as power analysis tools, complex networks that require hundreds of computers to build, or attack scripts or programs that are more heavily developed, such as in-car communication devices, expensive in-car diagnostic devices; if different steps of an attack require different specialized equipment components, they may be considered custom	攻击者没有，很容易购买到，并且操作相对简单的设备，如电源分析工具，需数百台电脑搭建的复杂的网络，或开发量较大的攻击脚本或程序，如车内通讯设备，昂贵的车内诊断设备；如果一个攻击的不同步骤需要不同的专门的设备组成，则可将被认为是定制的
		Bespoke	Not available to the attacker, not readily available to the public, requiring customization through, for example, very complex software equipment, or equipment that is stored in strictly restricted conditions because of its specialized nature or its expensive nature	攻击者没有，不容易为公众使用，需要通过定制，如非常复杂的软件设备，或因为其专业性而存放条件严格受限的设备或及其昂贵的设备。
		Multiple Bespoke	Multiple pieces of equipment need to be customized in order to combine to achieve the attack	需要定制多个装备，才能组合实现攻击

Attach Feasibility Elements
Elapsed Time		Specialist Expertise		Product Knowledge		Window of ToE		Equipment
Enumerate	Value	Enumerate	Value	Enumerate	Value	Enumerate	Value	Enumerate	Value
≤1 day	0	Layman	0	Public	0	Unlimited	0	Standard	0
≤1 week	1	Proficient	3	Restricted	3	Easy	1	Specialized	4
≤1 month	4	Expert	6	Confidential	7	Moderate	4	Bespoke	7
≤6 months	10	Multiple Experts	8	Strictly Confidential	11	Difficult	10	Multiple Bespoke	9