新思科技推動汽車產業完善安全生態

俞之浩/文

現在各行各業都在加速數字化轉型，技術不斷更新迭代，這背后離不開軟件的支持。軟件是數字化轉型的核心，使企業能夠以創新的方式為客戶創造價值。如果由于軟件的安全漏洞而遭受攻擊，意味著業務運營存在危險。因此，各大企業都在積極部署軟件安全計劃，以便更順暢地完成數字化轉型，獲得用戶的信賴。

當前，數字化浪潮正席卷各行各業，自動駕駛、5G、人工智能等新技術在汽車領域得到了廣泛應用，智能網聯汽車迎來發展的“風口”期。隨之軟件缺陷及漏洞使攻擊者有可乘之機。加強智能汽車網絡安全、完善汽車產業安全生態迫在眉睫。

對全球汽車企業的網絡安全團隊來說，2022年一定異常忙碌。因為當網絡安全從一個熱點技術上升為市場準入與合規的必備條件，充滿挑戰的時間表清晰地擺在了全行業面前。例如，關于網絡安全的聯合國第155號法(UNECE R155)于2021年初生效，有兩個日期具有約束力：從2022年7月起，歐洲經委會成員國（1958年協定）內的要求將適用于所有新車型，于2024年7月起適用于所有車輛。

作為全球最大的汽車市場，中國對車輛網絡安全相關的法規標準也在緊鑼密鼓地推進。2021年9月，中國工業和信息化部裝備工業發展中心印發了《關于加強智能網聯汽車生產企業及產品準入管理的意見》，要求整車企業對汽車數據安全、網絡安全、軟件在線升級、駕駛輔助功能情況開展自我核查，于2021年10月12日前上報相關自查結果。

汽車企業網絡安全團隊“被迫成長”

雖然各個標準都明確了具體要求，但是網絡安全團隊需要面對一些繁雜的條規進行梳理，制定符合企業現狀且可實際落地的工作行動計劃。

一方面，將原本僅對個別安全活動的關注，例如威脅分析、滲透測試等，變為一個流程化的網絡安全管理系統(CSMS,Cyber Security Management System)；另一方面，需要在緊迫的合規要求時間點前，集中有限資源，更高效地來建立企業安全能力。點與面，深度與廣度，都需要汽車企業的網絡安全團隊來解決。

BSIMM成為安全團隊的“他山之石”

軟件安全構建成熟度模型（BSIMM,the Building Security In Maturity Model）是業界最佳安全實踐模型之一，由新思科技(Synopsys)和BSIMM社區自2008年起合作開發，旨在幫助企業規劃、執行、評估和完善其軟件安全計劃(SSI)，迄今已迭代了12個版本。

車輛行業的網絡安全問題絕大部分是與車輛聯網化、智能化趨勢有關。隨著整個行業掀起軟件定義汽車(SDV,Software Define Vehicle)的熱潮，Synopsys相信對軟件安全問題的關注只會有增無減。眾多物聯網垂直企業以及高科技生產企業已經采用了BSIMM評估，衡量及創建產品相關的安全活動，而不僅限于針對軟件或應用程序。

治理主導與工程主導

最新BSIMM12發現企業為達到成熟的安全體系會采用兩種路徑：通過合規要求，自上而下地推進安全體系建設；通過工程團隊自下而上地來提高安全能力。以治理為主導的團隊通常專注于規則、門檻和合規性；而以工程為主導的團隊通常專注于功能速度、通過自動化避免錯誤和軟件彈性。

目前，眾多汽車企業采取由工程項目來驅動完整網絡安全體系建設的做法，但從企業長遠發展的角度出發，網絡安全團隊應該具有全局意識，從整體框架上著手，需要得到企業內部足夠的支持，還不僅局限在具體項目層面。

威脅分析與風險評估

2021年另外一個重要行業法規——ISO/SAE 21434《道路車輛-網絡安全工程》（Road vehicles Cyber security engineering）發 布 。 ISO/SAE 21434為車輛產品的全生命周期，定義了網絡安全流程要求以及網絡安全風險管理的框架。

直到ISO/SAE 21434的正式發布版本，才使用了威脅分析與風險評估(TARA,Threat Analysis and Risk Assessment)這個名詞來替換之前版本中所使用的比較普適的風險評估(Risk Assessment)，并將其作為一個單獨章節來規定TARA活動的工作交付物及相關需求。這在一定程度上反映了整個車輛行業對于TARA活動的重視。

BSIMM安全框架在情報這個領域中強調了攻擊模型這個實踐。攻擊模型實踐特指從攻擊者的角度思考安全問題，并收集相關的信息，包括威脅建模輸入、濫用案例、數據分類和特定技術的攻擊模式等。在最新的BSIMM12報告中，攻擊模型這個實踐闡述了11項被觀察到的具有典型意義的安全活動，其可作為參考幫助安全團隊補齊在這方面的不足。

滲透測試

汽車企業網絡安全團隊利用滲透測試來發現暴露產品漏洞，推動安全需求的落地。在BSIMM12報告顯示，有87%的受訪參與企業被會利用外部的滲透測試服務來發現問題。

滲透測試項目一般對于測試人員會有一個固定的測試項目周期要求，而且很多都是以黑盒的方式對測試人員提供測試環境和目標。所以往往測試人員會花比較多的精力和時間在發現系統漏洞上，而在有限的項目時限里很難去深挖一些比如業內未知的漏洞，或擴大滲透的覆蓋率。

BSIMM12報告還提出，安全團隊應該盡可能地向滲透測試人員提供可用的技術信息，無論是內部還是外部，都能夠使用可用的源代碼、設計文檔、架構分析結果、誤用和濫用案例、代碼審查結果以及云環境等部署配置來做更深入的分析，發現更多有趣的問題，將黑盒變為灰盒。

安全事件響應

沒有100%安全的系統和產品，所以安全的一個主要目標是能夠及時有效地對安全事件做出響應，做好風險管理，及時整改。同ISO/SAE 21434標準和UNECE R155法規中特別強調了安全事件響應流程一樣，在最新的BSIMM12報告中，BSIMM軟件安全框架中也有針對性地定義了配置管理和漏洞管理這個安全實踐，并闡述了相關的12個安全活動。例如，創建事件響應機制或者與事件響應團隊交流。有84%的BSIMM12參與企業已啟動了這個流程，讓其軟件安全小組與組織的事件響應小組聯系起來，以保持關鍵安全信息的雙向流動。

對于網絡安全領域來說，挑戰來源于外部不斷演進變化的威脅。企業的安全團隊需要一個持續改進的工作驅動模式。一直以來，Synopsys支持企業管理應用安全，構建可信軟件。除了BSIMM評估，公司還提供覆蓋軟件開發生命周期的安全測試解決方案，包括Coverity靜態應用安全測試和Black Duck軟件組成分析，幫助客戶有效管理軟件風險，構建產業安全生態。