情报赋能的车联网攻击面管理探索与实践

　　近年来，车联网产业正快速发展，产业链主体日益丰富，跨行业融合创新如火如荼，车联网的数字资产安全也备受关注。在5月23日举行的ISC  2022万人元宇宙序幕上，华云安安全研究员张晶晶分享了车联网领域攻击面管理的探索与实践。

　　她首先提到了车联网数字资产的安全现状：一是随着汽车智能化网联化功能增加，汽车数字资产所遭受的安全攻击越来越多;二是车联网产业链条长，安全的薄弱环节极难排查，汽车厂商需要进行完善的攻击面管理以此来判断供应链中的安全薄弱环节，来追踪和排查问题;三是开源代码广泛使用，由于缺少开源漏洞的信息跟踪能力，使得漏洞修复具有滞后性，一旦发生安全事件，必将极具破坏性;四是近几年汽车的组成结构愈加复杂，汽车的一些功能组件的信息安全弊端也在逐渐浮现出来。

　　汽车由于包括多种复杂的软硬件，导致暴露的攻击面也是尤其多，Upstream通过分析2010年-2020年发生的车联网攻击时间，发现了五种最常见的攻击面，分别是车联网服务器、无钥匙进入系统、移动应用程序、OBD端口和车载信息娱乐系统。

　　由此引申出车联网背景下，需要保护的汽车关键资产：

　　1. 平台层。包括TSP平台、OTA平台以及第三方服务平台等。

　　2. 通信层。包括用于实现V2X交互的设备，以及卫星协议、4G/5G、WIFI、蓝牙等通信。

　　3. 车端层。包括车辆自身的数字零部件，比如T-Box、IVI、智能座舱、汽车网关、车载计算平台等。

　　4. 移动终端。APP可以下发控车指令，也是需要保护的关键资产。

　　在分享中，张晶晶还总结了车联网攻击面管理的痛点，包括：

　　1.  汽车零部件资产众多，对这些资产的认识不够，将对威胁分析带来困难。

　　2.  漏洞验证时间长，成本高。较为匮乏的网络安全人才储备，在漏洞验证过程中使成本大幅提高，并且验证周期普遍较长，加大了漏洞带来的损失。

　　3. 大多数企业漏洞获取渠道有限，情报信息收集不全，无法从漏洞情报中得到有价值的数据，导致对安全时间的后知后觉。

　　4. 攻击事件往往伴随多个攻击向量，涉及到汽车的多个部件，不能快速定位到漏洞的影响范围。

　　5. 当检测到重大漏洞时，部分企业对漏洞修复的跟踪不够，流程没有实现闭环。

　　6.  被爆出的关于网联汽车的攻击事件，企业无法判断自己是否存在潜在威胁。

　　针对以上现状和痛点，张晶晶提出，分六个阶段对车联网数字资产进行攻击面管理：

　　1. 检测。对数字资产进行合规性测试、基于黑盒的漏洞挖掘以及收集漏洞情报。

　　2. 分析。将收集的漏洞进行分级分类，分析其攻击可行性及安全危害程度，并借助人工智能等手段进行建模，预测潜在攻击面。

　　3. 验证。通过高效实用的漏洞验证或利用工具，提高验证效率。

　　4. 情报。将单个的漏洞或攻击向量输入情报系统，通过知识图谱威胁模型发现潜在威胁。

　　5. 修复。将情报信息和修复方案快速反馈给受影响的供应链中的服务提供商，并形成闭环管理。

　　6. 感知。构建平台级的大数据AI分析引擎，以丰富的资产/漏洞数据、漏洞情报，达到全供应链漏洞感知能力。

　　在具体实现上，华云安倡导在企业部署汽车攻击面管理平台，首先构建强大的汽车漏洞情报中心，帮助企业解决漏洞情报获取不全的问题;通过部件管理帮助企业梳理核心资产，发现自身弱点，建立覆盖全车型的数字资产信息库;接着对汽车各部件和模块进行合规性检测和定向的漏洞挖掘，检测完整的攻击面;在企业本地部署的攻击面管理中心，包括资产库和情报库，通过指纹将情报自动匹配到汽车资产，形成资产的告警信息;然后分析告警信息在攻击路径中的位置、威胁程度、影响等指标，评定告警处置的优先级;最后需要建立完整和开放式的流转体系，将技术和流程打通，尤其是跨单位协同合作，从而完成对告警的验证和漏洞修复。

　　由此，情报、平台、服务一体化，将情报的价值赋能到攻击面管理的过程中，充分有效的利用情报快速响应，在安全事件发生时才能实现损失最小化，甚至是提前做好防护，比攻击者更快一步，让攻击者无从下手。