鉴源实验室丨汽车网络安全运营

作者 | 苏少博上海控安可信软件创新研究院汽车网络安全组

来源 | 鉴源实验室

社群 | 添加微信号“TICPShanghai”加入“上海控安51fusa安全社区”

概述

1.1 背景

随着车辆技术的不断进步和智能化水平的提升，车辆行业正经历着快速的变革和技术进步。智能化和互联技术在车辆中的广泛应用使得现代车辆具备大量传感器和电子系统，车辆网联化消除了黑客攻击车辆的地域和距离限制，给黑客远程批量攻击目标车辆提供了可能，车辆网联化的快速发展使车辆面临的信息安全风险显著增加。

为确保智能网联车辆的安全使用和合规运营，国内外均颁布了一系列标准、法规以规范车辆全生命周期的安全要求。车辆安全运营中心便在此背景下应运而生，其目的主要是为了更好地监控和管理车辆的安全性，预防事故和故障的发生，并及时采取措施解决问题。

1.2 什么是车辆安全运营中心

VSOC（Vehicle Security Operation Center）是车辆安全运营中心的缩写，是一个专门负责监控、管理和保护车辆安全的综合性运营中心，它可以集中处理车辆安全事件、风险和威胁，并采取相应的响应和防御措施，以确保车辆和乘客的安全。通过使用先进的技术和安全解决方案，车辆安全运营中心能够实时监测车辆的状态、识别潜在的安全漏洞，并提供预警和追踪功能，以支持车辆安全管理和保障整个车辆生命周期的安全性。车辆安全运营中心在车辆安全领域发挥着重要的作用，帮助车辆制造商、服务提供商和相关利益相关者提升车辆安全性，应对安全威胁和风险，并提供更安全的出行体验。

1.3 相关标准与法规

R155法规是由联合国欧洲经济委员会（United Nations Economic Commission for Europe）制定的《Cyber security and cyber security management system》。该法规旨在确保车辆网络和电子系统的安全性，防止潜在的安全威胁和攻击，保护车辆和乘客的安全。同时，该法规还要求要求OEM对车辆（队）的网络安全状况进行持续性的监控，并在网络安全事件发生后的合理时间内做出应对。

ISO 21434是国际标准化组织（ISO）提出的《Road vehicles – Cybersecurity engineering》标准。该标准旨在为车辆制造商、供应商和相关利益相关者提供指导，确保车辆信息安全管理的一致性和有效性，需要建立一套系统化的信息安全管理方法和流程，以保护车辆的信息安全和隐私。

总的来说，R155法规和ISO 21434的背景都是出于对车辆系统安全性和信息安全性的关注和需求，以应对日益增长的安全威胁和风险，以保护车辆和乘客的安全。而作为车辆安全运营中心，其任务之一就是遵守相关的法规和标准，以确保车辆系统的安全性和合规性。车辆安全运营中心可以采用R155法规和ISO 21434提供的指导和要求，建立相应的安全管理措施和流程，以应对车辆系统面临的安全挑战和风险。

基本工作流程

通常，云端VSOC与车端IDPS（Intrusion Detection and Prevention System）联合使用，以提高车辆的安全性和对潜在攻击的检测能力。

图1 IDPS-VSOC安全运营基本流程

监测和数据采集：车端IDPS通过监测车辆内部网络和系统的数据流量、日志和事件，收集关于车辆安全的信息。这些信息可以包括网络通信数据、操作系统日志、传感器数据等。

威胁检测和分析：车端IDPS分析采集到的数据，使用特定的检测算法和规则来识别可能的安全威胁或异常行为，检测网络入侵、恶意软件、未经授权的访问等潜在风险。

威胁响应和阻断：一旦车端IDPS检测到潜在的安全威胁，它会触发相应的响应机制，包括但不限于警报通知、日志记录、阻断网络连接或采取其他应急措施来应对威胁，并尽可能减轻潜在损害。

安全事件处理和分析：车辆安全运营中心接收并处理车端IDPS生成的安全事件和警报。它对事件进行分析、分类和优先级排序，并采取适当的措施来应对安全威胁，措施可能包括对运维人员与企业的告警、对车主与车辆的预警、对攻击事件的溯源与IP分析，或与其他服务提供商合作等多种手段结合，以进行深入的调查和响应。

安全漏洞修复和升级：根据车端IDPS的检测结果和VSOC的分析，车辆制造商或相关方可以进行安全漏洞修复和系统升级。这可以包括软件补丁、固件更新或配置更改等措施，以提高车辆的安全性和防御能力。此外，也可以通过配置OTA升级服务来实现自动化的模块更新。

通过联合使用VSOC和车端IDPS，车辆可以及时检测和应对潜在的安全威胁，保护车辆系统和乘客的安全，这种流程可以帮助车辆制造商和运营商实施全面的安全管理和响应措施，提升车辆的可信度和可靠性。

VSOC的其他功能

除了上述提到的基本安全事件处理流程与基本功能，还应能够实时对整体安全状态进行监控，并能够发现潜在的威胁等。以下是一些安全运营阶段的其他重要功能：

3.1 数据统计与数据分析

一个完整的流程还应包括一些数据处理以及统计分析的能力，例如对车队状态的监控以及安全事件发生情况的分析等：

车队状态监控：VSOC通过监控车队中各个车辆的安全状态和网络连接情况，实时了解整个车队的安全状况。它可以收集车辆的实时数据，如网络通信状况、系统运行状态、安全事件报告等。通过对车队状态的监控，VSOC能够及时发现异常行为或潜在的安全威胁，并采取相应的措施进行处理。

安全事件统计和分析：VSOC会对车辆安全事件进行统计和分析，以获取关于安全威胁的更深入了解。它可以收集安全事件的类型、发生频率、影响范围等信息，并对这些数据进行分析和挖掘。通过统计和分析安全事件，VSOC可以识别出常见的攻击模式、漏洞利用方式以及车队中存在的安全漏洞，并提供相应的建议和措施来改善整体安全性。

安全策略更新和优化：根据对车队状态监控和安全事件统计的结果，VSOC可以对安全策略进行更新和优化。它可以根据最新的安全威胁情报和漏洞信息，对车辆的安全配置和防御措施进行调整。这可能包括更新安全规则、加强访问控制、优化加密机制等，以提高车辆安全性并降低潜在的风险。

通过监控车队状态和统计安全事件，VSOC能够全面了解车队的安全情况，并及时采取相应的措施来保护车辆和乘客的安全。这种综合的监控和分析能力可以帮助车队管理者和安全团队更好地了解车队的整体安全状况，并制定相应的应对策略和预防措施。同时，它还能为车队安全管理提供有价值的数据和洞察，以支持决策和持续改进。

3.2 资产管理

VSOC可以维护一个资产数据库，记录车队中各个车型、零部件以及供应商的相关信息。这包括车辆型号、配置、关联的零部件信息，以及供应商名称、联系方式等。通过建立详尽的资产信息库，车辆安全运营中心可以快速查询和定位特定车型、零部件的相关信息，从而在安全事件发生时能够迅速了解相关资产的情况。

当安全事件发生时，VSOC可以利用资产管理功能快速定位受影响的车型、零部件等相关信息。这有助于快速识别问题的范围和影响程度，从而能够迅速与供应商进行协调和沟通，共同解决问题。通过与供应商之间的紧密合作和响应，车辆安全运营中心可以加快问题的解决速度，降低潜在的安全风险。

资产管理功能也为供应链安全管理提供了支持。VSOC可以跟踪和管理车队所使用的零部件供应商，并记录与供应商之间的合作关系和安全性评估。它可以对供应商的安全实践、安全认证、漏洞披露等进行监控和评估，以确保供应链的安全性和可靠性。在安全事件发生时，VSOC可以通过资产管理功能迅速联系供应商，共同解决问题并采取必要的补救措施。

通过资产管理功能，VSOC能够实现对车型、零部件和供应商等重要资产信息的集中管理和快速定位。这不仅有助于在安全事件发生时快速响应和协调，还能支持供应链安全管理和持续改进。整合资产管理功能，VSOC能够更全面地管理车队的安全性，并提高对安全事件的处理效率和准确性。

3.3 漏洞管理

漏洞管理也是应对潜在威胁的重要部分。VSOC可以定期更新和维护权威漏洞库，如CVE，以获取最新的漏洞信息。通过整合漏洞库的数据，VSOC能够了解各个漏洞的严重程度、影响范围和已有的修复建议。在此基础上，定期对车辆的车机系统进行漏洞扫描。通过使用专业的漏洞扫描工具，VSOC能够主动发现潜在的漏洞和安全弱点。扫描结果将与漏洞库中的信息进行比对和分析，以确定哪些漏洞对车辆系统构成真正的威胁。

当安全事件发生时，VSOC可以结合漏洞管理功能，将事件、资产和漏洞三者进行关联。通过分析事件的特征和影响，VSOC能够推测可能存在的漏洞并进行定位。反过来，VSOC也可以通过漏洞扫描的结果来确认与特定漏洞相关的安全事件。

漏洞修复和预防：当发现某个资产存在特定的漏洞时，VSOC可以追踪和协调漏洞修复的过程，确保及时修复漏洞以降低安全风险。同时，VSOC还可以将漏洞信息反馈给资产管理模块，以预防同类漏洞在其他资产上的出现，从而提高整个车队系统的安全性。

通过漏洞管理功能，VSOC能够将安全事件、资产和漏洞三者有机结合起来，实现事件确认、资产漏洞定位以及漏洞修复与预防的全方位管理。这种综合的漏洞管理能力有助于提高车队系统的安全性和稳定性，并减少由漏洞引起的潜在风险。