新思科技促進(jìn)智能網(wǎng)絡(luò )汽車(chē)行業(yè)健康發(fā)展

現在，智能網(wǎng)聯(lián)汽車(chē)技術(shù)快速演進(jìn)，整體產(chǎn)業(yè)加速布局。同時(shí)，車(chē)聯(lián)網(wǎng)的開(kāi)放性也使得車(chē)輛受攻擊面更多。推動(dòng)車(chē)聯(lián)網(wǎng)安全能力建設、促進(jìn)智能網(wǎng)絡(luò )汽車(chē)行業(yè)健康發(fā)展勢在必行。

對于全球車(chē)企的網(wǎng)絡(luò )安全團隊來(lái)說(shuō)，2021年一定異常忙碌。因為當網(wǎng)絡(luò )安全從一個(gè)熱點(diǎn)技術(shù)上升為市場(chǎng)準入與合規的必要需求，充滿(mǎn)挑戰的時(shí)間表清晰地擺在了全行業(yè)的面前。例如，關(guān)于網(wǎng)絡(luò )安全的聯(lián)合國第155號法規(UNECE R155)于2021年年初生效，有兩個(gè)日期具有約束力：從2022年7月起，歐洲經(jīng)委會(huì )成員國（1958年協(xié)定）內的要求將適用于所有新車(chē)型，并于2024年7月起適用于所有車(chē)輛。

作為全球最大的汽車(chē)市場(chǎng)，中國對于車(chē)輛網(wǎng)絡(luò )安全相關(guān)的法規標準也在緊鑼密鼓地推進(jìn)。2021年9月，中國工業(yè)和信息化部裝備工業(yè)發(fā)展中心印發(fā)了《關(guān)于加強智能網(wǎng)聯(lián)汽車(chē)生產(chǎn)企業(yè)及產(chǎn)品準入管理的意見(jiàn)》，要求整車(chē)企業(yè)對汽車(chē)數據安全、網(wǎng)絡(luò )安全、軟件在線(xiàn)升級、駕駛輔助功能情況開(kāi)展自我核查，并于2021年10月12日前上報相關(guān)自查結果。

車(chē)企網(wǎng)絡(luò )安全團隊“被迫成長(cháng)”

雖然各個(gè)標準都列明了具體要求，但是網(wǎng)絡(luò )安全團隊需要面對著(zhù)這些煩雜的條規進(jìn)行梳理，制定符合企業(yè)現狀、且可以實(shí)際落地的工作行動(dòng)計劃。

一方面，將原本僅對于個(gè)別安全活動(dòng)的關(guān)注，比如威脅分析、滲透測試等，變?yōu)橐粋€(gè)流程化的網(wǎng)絡(luò )安全管理系統(CSMS, Cyber Security Management System)；另一方面，又需要在緊迫的合規要求時(shí)間點(diǎn)前，集中有限資源，更高效地來(lái)建立企業(yè)安全能力。

這兩點(diǎn)似乎有些矛盾的問(wèn)題（點(diǎn) vs. 面，深度vs. 廣度），需要車(chē)企的網(wǎng)絡(luò )安全團隊來(lái)解決。這時(shí)，其它企業(yè)解決相同問(wèn)題的做法將會(huì )成為非常有價(jià)值的參考。

BSIMM能夠成為安全團隊的“他山之石”

軟件安全構建成熟度模型（BSIMM, the Building Security In Maturity Model）是業(yè)界最佳安全實(shí)踐模型之一，由新思科技(Synopsys)和BSIMM社區自2008年起合作開(kāi)發(fā)，旨在幫助企業(yè)規劃、執行、評估和完善其軟件安全計劃(SSI)，迄今已迭代了12個(gè)版本。

目前車(chē)輛行業(yè)的網(wǎng)絡(luò )安全問(wèn)題絕大部分是與車(chē)輛聯(lián)網(wǎng)化、智能化的趨勢有關(guān)。另外，隨著(zhù)整個(gè)行業(yè)掀起軟件定義汽車(chē)(SDV, Software Define Vehicle)的熱潮，新思科技相信對軟件安全問(wèn)題的關(guān)注只會(huì )有增無(wú)減。眾多物聯(lián)網(wǎng)垂直行業(yè)的企業(yè)以及高科技行業(yè)生產(chǎn)企業(yè)已經(jīng)采用了BSIMM評估，衡量及創(chuàng )建產(chǎn)品相關(guān)的安全活動(dòng)，而不僅僅是針對軟件或應用程序。

治理主導vs.工程主導

最新BSIMM12有觀(guān)察到企業(yè)為達成成熟的安全體系會(huì )有兩種路徑：通過(guò)合規要求，自上而下的推進(jìn)安全體系建設；通過(guò)工程團隊自下而上地來(lái)提升安全能力。以治理為主導的團隊通常專(zhuān)注于規則、門(mén)檻和合規性；而以工程為主導的工作通常專(zhuān)注于功能速度、通過(guò)自動(dòng)化避免錯誤和軟件彈性。成功不需要相同的觀(guān)點(diǎn)，但為了保證達成公司的安全目標，這些觀(guān)點(diǎn)需要統一起來(lái)。 這意味著(zhù)團隊必須在風(fēng)險管理問(wèn)題上進(jìn)行合作，揚長(cháng)避短。

所以，目前眾多車(chē)企所采取的由工程項目來(lái)驅動(dòng)完整網(wǎng)絡(luò )安全體系建設的做法，還是需要網(wǎng)絡(luò )安全團隊能夠從整體框架上有全局的理解，并能夠在企業(yè)內部獲得足夠的支持，而不僅僅是局限在具體項目層面。

威脅分析與風(fēng)險評估

2021年還有一個(gè)很重要的行業(yè)法規發(fā)布——ISO/SAE 21434《道路車(chē)輛－網(wǎng)路安全工程》（Road vehicles – Cybersecurity engineering）。ISO/SAE 21434為車(chē)輛產(chǎn)品的全生命周期，定義了一個(gè)網(wǎng)絡(luò )安全流程要求以及網(wǎng)絡(luò )安全風(fēng)險管理的框架。

直到ISO/SAE 21434的正式發(fā)布版本，才使用了威脅分析與風(fēng)險評估 (TARA, Threat Analysis and Risk Assessment)這個(gè)名詞來(lái)替換之前版本中所使用的比較普適的風(fēng)險評估(risk assessment)，并將其作為一個(gè)單獨章節來(lái)規定TARA活動(dòng)的工作交付物及相關(guān)需求。這在一定程度上反映了整個(gè)車(chē)輛行業(yè)對于TARA活動(dòng)的重視。

BSIMM安全框架在情報這個(gè)領(lǐng)域中強調了攻擊模型這個(gè)實(shí)踐。攻擊模型實(shí)踐特指從攻擊者的角度思考安全問(wèn)題，并收集相關(guān)的信息，包括威脅建模輸入、濫用案例、數據分類(lèi)和特定于技術(shù)的攻擊模式等。在最新的BSIMM12的報告中，攻擊模型這個(gè)實(shí)踐下有闡述了11項被觀(guān)察到的具有典型意義的安全活動(dòng)，它們可以作為參考幫助安全團隊補齊在這方面的不足。

滲透測試

車(chē)企網(wǎng)絡(luò )安全團隊常常利用滲透測試來(lái)發(fā)現暴露產(chǎn)品漏洞，推動(dòng)安全需求的落地。在BSIMM12的報告中也反映了，有87%的受訪(fǎng)參與企業(yè)被觀(guān)察到會(huì )利用外部的滲透測試服務(wù)來(lái)發(fā)現問(wèn)題。

滲透測試項目一般對于測試人員會(huì )有一個(gè)固定的測試項目周期要求，而且很多都是以黑盒的方式對測試人員提供測試環(huán)境和目標。所以往往測試人員會(huì )花比較多的精力和時(shí)間在發(fā)現系統漏洞上，而在有限的項目時(shí)限里很難去深挖一些比如業(yè)內未知的漏洞，或擴大滲透的覆蓋率。

BSIMM12中也提到了一個(gè)被觀(guān)察到的安全活動(dòng)，安全團隊應該盡可能地向滲透測試人員提供可用的技術(shù)信息，無(wú)論是內部的還是外部的，都能夠使用可用的源代碼、設計文檔、架構分析結果、誤用和濫用案例、代碼審查結果以及云環(huán)境等部署配置來(lái)做更深入的分析，發(fā)現更多有趣的問(wèn)題。將黑盒變?yōu)榛液小?/p>

安全事件響應

沒(méi)有100%安全的系統和產(chǎn)品，所以安全的一個(gè)主要目標是能夠及時(shí)有效地對安全事件做出響應，做好風(fēng)險管理，并及時(shí)做出整改。同ISO/SAE 21434標準和UNECE R155法規中特別強調了安全事件響應流程類(lèi)似，在最新的BSIMM12報告中，BSIMM軟件安全框架中也有針對性地定義了配置管理和漏洞管理這個(gè)安全實(shí)踐，并闡述了相關(guān)的12 個(gè)被觀(guān)察到的安全活動(dòng)。例如創(chuàng )建事件響應機制或者與事件響應團隊交流。有84% 的 BSIMM12 參與企業(yè)已經(jīng)啟動(dòng)了這個(gè)流程，讓他們的軟件安全小組與組織的事件響應小組聯(lián)系起來(lái)，以保持關(guān)鍵安全信息雙向流動(dòng)。

對于網(wǎng)絡(luò )安全領(lǐng)域來(lái)說(shuō)，挑戰來(lái)源于外部不斷演進(jìn)變化的威脅。企業(yè)的安全團隊需要一個(gè)持續改進(jìn)的工作驅動(dòng)模式。一直以來(lái)，新思科技支持企業(yè)管理應用安全，進(jìn)而構建可信的軟件。除了BSIMM評估，新思科技還提供覆蓋軟件開(kāi)發(fā)生命周期的安全測試解決方案，包括Coverity^?靜態(tài)應用安全測試以及Black Duck^?軟件組成分析。

現在，各行各業(yè)都在加速數字化轉型，技術(shù)也不斷更新迭代。這背后離不開(kāi)軟件的支持?？梢哉f(shuō)軟件是數字化轉型的核心，使企業(yè)能夠以創(chuàng )新的方式為客戶(hù)創(chuàng )造價(jià)值。如果軟件出現安全漏洞，通常也意味著(zhù)業(yè)務(wù)運營(yíng)存在危險，容易遭受攻擊。因此，各大企業(yè)都在積極部署軟件安全計劃，以更順暢地完成數字化轉型，以及獲得用戶(hù)的信賴(lài)。新思科技希望能繼續為中國車(chē)企及其它行業(yè)客戶(hù)管理軟件風(fēng)險，提升競爭力，推動(dòng)產(chǎn)業(yè)完善安全生態(tài)。