2023年全球汽车网络安全报告

07 汽车网络安全解决方案

设计vSOC，对抗不断扩大的攻击面。

随着汽车行业向智能出行生态系统转型，网络安全解决方案也在不断发展。解决方案必须全面，才能应对不断出现的各种网络攻击向量。车辆相关威胁不仅仅是针对车辆的直接攻击，还会针对车队、出行类应用程序和服务，甚至电动汽车充电设施，缓解这些威胁对于车辆安全团队和车辆安全运营中心（vSOC）来说是个挑战。

此外，网联SDV带来了汽车行业的革命，有望改善车主体验，为OEM厂商带来新的营收流。问题是，黑客正在利用扩大的攻击面漏洞，置OEM厂商的可信度、安全性和可靠性于风险中。

随着新标准和法规的采用，网络安全将持续成为OEM厂商、一、二级供应商以及广大智能出行利益相关者的首要任务。

未来，要保护网联车辆和出行服务的安全，需要一种全面的分层网络安全方法。

UNECE WP.29 R155和ISO/SAE 21434都要求在车辆开发、生产和后续阶段的整个生命周期内考虑网络安全威胁和漏洞。2022年是首次对OEM厂商及其供应商进行安全方面的正式监管和标准化。

一辆典型的乘用车的寿命约为12年，商用卡车的寿命为20年，而农用车的寿命则长达30多年。因此，OEM厂商必须制定长期战略，确保搭载现有技术的产品能安全运行数十年。

2022年，汽车供应链发生了巨变，打破了各环节的微妙平衡。之前，OEM厂商并不一定要求一、二级供应商披露其网络安全做法。因此，OEM厂商需要承担将第三方供应商的安全漏洞直接引入车辆的风险，这样，除了供应链瓶颈问题，厂商还要担心生产中断风险。此外，安全措施不足的话，假冒部件容易进入合法设施，降低磨损等级、绕过安全限制等，威胁安全。

R155及R156和ISO/SAE 21434要求OEM厂商积极负责，确保供应链安全以及供应商依照相关指导方针正确行事。OEM厂商必须主动确保组件安全，包括加强检查，避免无关零件进入系统。

R155要求OEM厂商在车辆生命周期的各个阶段实施和维护威胁分析与风险评估（TARA）。他们还必须与一、二级供应商共同开发流程，应对和防护未来攻击。

与供应商共同执行R155要求时可参考ISO/SAE 21434。

该标准要求OEM厂商关注两大要素：

无论OEM厂商和供应商约定使用何种方法，OEM厂商都有责任遵守R155及R156，并按ISO/SAE 21434要求行事。

R155法规明确规定了四项车辆网络安全措施，其中之一是通过设计保护车辆安全，降低价值链风险。

安全设计指在开发阶段就考虑部件或软件的安全性。为此，需要确保所有车辆部件在设计、开发时未引入网络安全漏洞，并经过相关测试，且已知风险都得到了缓解。

虽然OEM厂商对车辆的安全负有最终责任，但供应链中的所有供应商同样需要采用安全设计。

分层安全已成为IT和企业安全标准。威胁日益复杂，新的漏洞不断出现，企业需要提高安全性，使用多源数据来检测威胁和有效应对。企业使用的安全方案多种多样，包括端点解决方案、网络安全解决方案、云安全、内部隔离技术等。

2019年，Gartner对安全进行了标准化，引入了以网络为中心的安全运营中心（SOC）可见性三元组概念。根据Gartner的研究，现代SOC必须依靠三个广为人知的核心安全元素来促进威胁可见性、检测、响应、调查和补救：

将SOC方法应用于车辆（vSOC），在OEM厂商、一级供应商、远程通信服务提供商（TSP）和生态系统中的其他利益相关者之间创建更安全的分层，最大限度地减少威胁，防止攻击。vSOC的IT网络安全为OEM服务器和IT后端基础设施提供保护，防止网络攻击。除此之外，vSOC还新增了一层，重点关注车辆检测和响应（VDR）：

车内安全

保护内部部件，防止短距离和长距离远程攻击。

汽车云安全

利用汽车云扩大检测范围，覆盖各种网络威胁（XDR）；采用跨车辆、应用程序等网联服务的车队安全视角，识别针对多辆汽车的攻击。

API安全

vSOC的这一新增功能要求vSOC和IT SOC之间进行跨部门合作，侧重于保护基于API的应用程序、服务和功能。

汽车基础设施的每一层都面临着不同的网络安全挑战。这些挑战可以通过分层方法来解决，包括车辆检测和响应（VDR）以及专用vSOC。

在许多大型企业中，SOC通常用于监控IT系统。OEM厂商还依赖SOC来监控其基础设施和资产。但与IT基础设施不同，车辆始终处于活动状态，不直接受OEM厂商的控制（这一点与由组织直接拥有和管理的IT资产不同），每分钟与新输入交互数千次。

针对OT和IoT网络的攻击数量和复杂程度日益增长，OEM厂商必须开发集成vSOC，又名“出行SOC”或“汽车SOC”，以便在后续阶段保护其车辆、基础设施和客户。

有效的vSOC对于网联车辆和智能出行生态系统的安全至关重要，助力OEM厂商实时监控其整个基础设施和车辆，对检测到的威胁做出快速响应。

• 有效的vSOC若实施得当，可提供如下价值：

• 详细说明功能、组件和运营模式的清晰框架

• 科学定义的战略和范围，包括愿景、使命和章程

• 治理和指导政策、标准、程序和流程

• 开发、实施组织和自动化响应活动的端到端剧本

• 利用紫队、威胁模型和威胁情报提前预知威胁

• 从与汽车相关的各种来源获取数据并进行关联

• 基于专门针对汽车的分析，实时或接近实时地检测威胁和异常

• 对告警进行分类和调查

• 主动的威胁狩猎和攻击手段分析

• 全天候运作

2022年，许多OEM厂商意识到vSOC对有效缓解和响应至关重要，将重点转移到vSOC建设上。

许多OEM厂商仍在着手具体化并定位vSOC，包括定义其范围、确定其在组织架构中的归属、评估采购模式（内部、混合或托管vSOC）和运营模式（如一个全球vSOC、多个地区运营等）。

鉴于亟需根据R155建立vSOC，建设时可采用如下方式：

近乎“纯粹”或独立的vSOC

• 仅关注网联车辆生产以后的阶段，遵循法规要求，确保合规

• IT组织的一个部门，向CISO报告；有时附属于售后或全球运营部门

• 有时还专注于网联汽车基础设施的IT方面——汽车云

但有些OEM厂商在vSOC建设中走得更远。由于基本vSOC工艺和技术已趋成熟，再加上不断扩大的攻击面，出现了两种新型的vSOC：

• 融合vSOC

融合vSOC下属于网联车辆运营中心，提供跨职能方法，将基本的vSOC功能与OTA健康监测、DTC监测、网络等相结合。融合vSOC需要与IT SOC密切合作，保护整个智能出行系统中的数据驱动服务和应用，这对于检测和有效缓解复杂的攻击向量至关重要。

• IT-OT vSOC

以网络为中心的IT-OT vSOC，将IT SOC和vSOC合二为一，成为综合的安全运营中心，涵盖从设计到制造（如车辆生产的OT监控）和运营的整个车辆生命周期的安全要素。

如今，网联车辆的运行数据主要由负责运行vSOC的OEM厂商所有和管理。

未来的一大变化是更多的利益相关者将会有访问网联车辆数据的需求。

智能出行利益相关者，如车队所有者和运营商、出行服务提供商、州政府、地方市政当局等，可能需要建立自己的独立vSOC，其业务目标与OEM厂商的业务目标截然不同。

分层方法还必须包括主动性元素，以增强威胁检测能力，如网络威胁情报监控。

OEM厂商使用专门的汽车类威胁库可以缓解产品中的漏洞，同时保持合规性。该威胁库会持续更新，加入表层网络、深网和暗网中发生的威胁事件。

网联汽车生态系统越来越复杂，针对汽车的威胁情报产品变得愈加重要。网络漏洞和攻击影响整个供应链，危及信任和安全，要求所有利益相关者积极主动地分析风险、进行监控和有效应对网络攻击。

• 及早发现针对OEM资产的网络威胁

• 搭载深层次威胁情报，遵守相关汽车标准和法规的要求

• 进行事先管理，防止声誉在威胁、漏洞或攻击公之于众之后受损

• 及早发现违反保修政策的行为，避免未来出现保修问题

• 提高网络威胁意识，与客户建立信任

• 监管汽车供应链面临的直接威胁

• 评估当前威胁态势，并与同行或竞争对手进行比较

• 加强组件威胁监控，获取OEM厂商的信任

• 及早发现违反保修政策的情况，降低未来的保修成本

• 监控热门部件攻击论坛和聊天，识别、修复组件漏洞

• 监控、缓解威胁库中的漏洞，满足监管要求

• 监控组织数据和PII的泄露情况，发现潜在违规行为，消除风险

• 制定步骤，改善IT和OT安全，在云服务和公司网络中实施合理的网络安全措施

• 监控、分析其他组织所受攻击，开发防御方法，防止本组织的资产和应用程序遭遇类似威胁

• 认清网络威胁形势，对网络风险进行有效评估，确定行动优先级，更有效地分配资源

• 监控暗网，发现售卖公司网络访问权限的不法分子

• 发现组织的内部威胁

• 监控知识产权，如产品的物料清单（BOM），及时发现泄露问题

• 监控论坛聊天交流，尽早发现新威胁和可能出现的威胁

• 识别新的欺诈手法、趋势和威胁主体

• 识别、监控常见的盗版功能和非法修改

• 检测、预警涉及汽车客户隐私信息的数据泄露风险并提供后续措施

• 发现可能破坏组织网络、资源或业务的新威胁

• 及时获悉在地下市场出售的新漏洞或漏洞利用工具

• 监控与车辆相关的软件安全性，根据需要发布OTA更新

• 禁用被入侵账号并/或通知车主，防止针对网联车辆的网络攻击

• 跟踪与汽车相关的零日漏洞及其利用工具包

• 确定汽车安全事件发生的主要原因、地点和方法，方便精算师有效衡量风险、评估保单成本

• 对常见的保险欺诈行为（例如操控网联汽车的行车记录仪）进行监控

• 发现并预防违反保修和/或保单的行为，如篡改里程表

• 了解当地市场的地理风险区域和资产子集

• 发现与身份盗窃有关的欺诈行为

• 对网上销售欺诈性拼车/叫车用户和司机账号的行为进行监控

• 发现出售拼车/叫车或租赁用户数据的恶意人员或组织

• 监控黑客论坛，及时发现窃取或操控共享出行资产的方法

随着各公司持续推动车辆入网，远程通信和其他数据开始成为黑帽黑客日益青睐的价值目标。

只有专门的汽车威胁情报产品才能揭示车辆的上下文，助力用户快速识别异常情况，消除误报，防止网络安全团队因收到太多误报而放下警惕。

产品网络安全主管和CISO必须根据本组织的实际需求，采用恰当的方法来应对日益增长的汽车黑客威胁。

Upstream为网联车辆专门开发了基于云的网络安全和数据管理平台，提供无与伦比的汽车网络安全检测和响应能力以及数据驱动的应用。

Upstream的无代理解决方案能够保护已上路的网联车辆以及快速上市的新车。它还提供了针对整个车队的全面分析方法，能够发现车队的复杂异常情况。

Upstream平台挖掘了车辆数据的潜在价值，客户可以将高度分布式的车辆数据转换为集中式、结构化、情境化的数据湖，从而构建网联车辆应用。此外，通过首个汽车网络安全威胁情报解决方案AutoThreat® PRO，Upstream提供业界领先的网络威胁保护和实用建议，无缝集成到客户的环境和vSOC中。

攻击面不断扩大，攻击者也在开发复杂方法以控制网联车辆，在这一背景下，Upstream平台和AutoThreat® PRO已成为确保汽车行业安全的关键。

AutoThreat®团队收集和分析的数据常被用于开发检测工具和解决方案，防护现场发现的漏洞和缺陷。这样，Upstream就能获取未知威胁的第一手资料。

早在2017年，Upstream就推出了第一个基于云的网络安全和数据管理平台，专门为网联车辆和智能出行打造，从而在网联车辆安全方法上实现了创新性的根本转变。

Upstream平台发展迅猛，已成为强大的网络安全检测和响应平台，包含数百个检测器，可为智能出行生态系统涉及的各种组织提供网络安全和出行相关用例。

如今，Upstream平台监控着全球数百万辆汽车，为全球最大的几家OEM厂商的检测和响应工作以及vSOC提供支持。此外，该平台每月还监控着数十亿项API事务以及电动汽车充电设施，这两种基础设施都是汽车数字化转型的核心。

Upstream提供了便于部署的解决方案，可检测整个智能出行生态系统中的网络安全威胁，包括：

• 网联车辆

• OTA

• 更新

• 电动汽车充电设施

• 智能出行API

• 配套移动应用程序

• 远程通信应用程序

Upstream能够处理海量数据流并提供先进的数据分析和机器学习应用程序，这样，OEM厂商就倾向于将Upstream的使用范围扩展到网络安全之外，涵盖欺诈检测、预测分析、软件更新健康监测、车辆数据可观测性等数据管理用例。

因此，Upstream平台最近进行了扩展，提供了各种用例：

Upstream平台还提供了便于部署的托管vSOC服务，具有先进的深入检测、调查和缓解能力，既适用于单个ECU和单个车辆，也适用于整个车队。有了这种全方位视角，OEM厂商可以减轻针对车辆、应用程序、服务、充电基础设施和整个车队的已知和未知网络安全威胁。

Upstream的托管vSOC服务基于Upstream强大的技术堆栈和AutoThreat® PRO，效果超群。Upstream的分析师经验丰富，采用有效方法监控全球数百万辆汽车，能在最短的时间交付解决方案。Upstream的托管vSOC可与OEM厂商的现有工艺和工作流程无缝集成，提供定制剧本（Playbook）。此外，该服务与许多MSSP伙伴密切合作，保护全球各地的车辆。

分析师和研究人员团队经验丰富，在网络安全、欺诈和运营方面拥有深厚的专业知识，为汽车生态系统提供独特的视角，形成跨职能vSOC。

通过Upstream，OEM厂商可以建成功能齐全的vSOC服务，用经过验证的有效方法进行威胁检测和响应，覆盖不同的地理区域，并根据需要扩大规模。

要最大程度地提高灵活性并避免被厂商绑架，OEM厂商可利用稳健且经过验证的建造-运营-移交（BOT）模式。Upstream的vSOC服务对OEM团队进行实施模型、方法和剧本方面的培训，确保能根据需要顺利移交。

Upstream在以色列和美国均有服务团队，具有先进的安全设施，使用分区的基于角色的访问控制（RBAC）数据访问权限。该托管服务完全符合法规（包括欧洲GDPR的充分性要求），可以轻松地进行远程审计。

2022年，Upstream在以下几个关键领域扩展了vSOC可见性，增强了检测能力。同时，作为SDV工作的一部分，将大量车载数据流直接集成到Upstream平台中，提供类似端点管理的功能。

在响应方面，Upstream一直致力于构建端到端响应流程和文档（如剧本），进行跨职能协作，实施融合vSOC，不断扩展能力。2022年，Upstream的vSOC进行了持续的桌面演习，以扩大其跨职能效果，应对新型攻击向量和威胁，测试现有流程的有效性，扩展应对方法和剧本，深化与各组织团队的合作。

随着基于API的网络攻击和漏洞数量的激增，智能出行利益相关者每月需要监控数十亿API业务量，挑战颇大。

API是增长最快的攻击向量之一，与2021年相比，2022年的相关攻击增长了380%。Upstream的智能出行API安全方案将API事务与Upstream平台的强大数字孪生功能相关联。Upstream平台提供了从消费者应用程序到单个车辆再到整个车队的所有受影响资产的上下文和全面视图。

Upstream通过分析与车辆状态和消费者行为相关的API行为并进行画像，建立性能基准，准确检测事务量和参数超常威胁。

利用Upstream提供的方案，vSOC分析师可以近乎实时地检测API安全威胁，找到有效缓解所需的信息，并触发告警响应工作流。

Upstream预置了一些功能，可以检测到入侵检测/防御系统（IDPS）触发的车内安全事件并进行告警。Upstream的告警功能可以减少许多车载网络安全方案中存在的误报。Upstream将IDPS数据流与网联车辆的其他数据源相结合，为vSOC分析师提供额外的上下文，可以快速解决问题。

可以集成的车内数据源包括：入侵检测系统管理器（IDSM）、各种安全日志程序和支持中央网关及远程通信控制单元（TCU）的IDPS数据源。

使用Upstream的AutoThreat® PRO，vSOC团队可以利用威胁狩猎来搜索网联车辆的历史数据和用例，帮助分析师识别异常模式和潜在恶意活动。

Upstream的vSOC

Upstream的AutoThreat® PRO是第一款也是唯一一款专为汽车和出行移动生态系统打造的网络威胁情报（CTI）产品。它提供定制的CTI、深网/暗网研究，分析客户专用资产（SBOM）、汽车威胁主体和特定的汽车网络问题。Upstream的CTI旨在识别汽车威胁生态系统中的漏洞、漏洞利用工具、欺诈和假冒产品。

Upstream汽车网络威胁情报的独特之处在于揭示汽车产品安全问题中缺失的未知部分。对从单个ECU到整车的产品和部件进行分析，OEM厂商和一、二级供应商可以提高漏洞管理、威胁意识和产品情报，确保合规性。

Upstream的AutoThreat®团队由具有深厚汽车专业知识和产品网络安全知识的网络安全研究员和分析师组成。该服务包括定期和紧急的CTI深网/暗网研究报告，还可定制查询。AutoThreat® PRO还提供了易于使用的在线平台以及明网网络事件查询门户，还允许通过Upstream的自动CVE源进行漏洞管理。此外，还有一个专用的汽车威胁主体库。

08 2023年预测

2022年，随着智能出行生态系统的不断发展，网络攻击的频率和复杂程度都有所增加，更多的利益相关者需要共同负责保护越来越多的出行资产。不仅如此，宏观经济和供应链问题，以及俄乌冲突所带来的地缘政治趋势，都表明出现了新的攻击向量，汽车和智能出行利益相关者或因此加快网络安全投资。

考虑到即将到来的创新、挑战和法规，我们预测2023年有如下几大趋势：

1. 越来越多的攻击将针对整个车队，获取车队的访问权限，控制车辆，窃取数据。

出行应用程序的激增和对海量数据的访问，再加上对多辆汽车的控制能力，给恶意威胁主体带来了巨大的经济收益机会。针对整个车队的攻击预计将在出行生态系统中出现增长，主要原因是API漏洞的数量持续上升和相关利用越来越频繁。

2. 对电动汽车充电设施的攻击已然很突出，但还将继续扩展到地方电网

2022年，世界各地的充电基础设施遭到了一系列网络攻击。对公共基础设施和地方电网的攻击预计有所增长，支持电动汽车充电的整个技术堆栈需要将重点转移到网络安全检测和缓解上。

3. 将测试消费者对车辆订购费的接受程度

2022年是OEM厂商和出行服务提供商数字化发展的里程碑。厂家采用付费订购出厂硬件功能的举措遭到了消费者的强烈抵制，但也有小部分人群表示接受。预计车主发起的黑客攻击将大幅增加，通过用欺诈性手段操控系统来绕过保费成本。

4. 随着vSOC的成熟，重点将转向自动化和提升效率上

vSOC将迅速发展，不仅仅是满足合规和审计要求，还会实现有效响应。自动化剧本和复杂方法的开发和实施预计会快速发展。此外，随着汽车生态系统、SDV和数字应用程序的扩展，vSOC和其他企业SOC之间将需要深度合作，提供全方位保护。

5. 未来的监管将侧重于保护敏感数据和电动汽车充电设施

针对敏感数据和电动汽车充电设施（包括电网、市政资产和公共交通）的车队攻击会越来越多，对公共安全构成严重威胁，为此，监管机构预计将会起草下一代汽车网络安全法规。

此外，《维修权法案》带来的网络安全风险日益增长，我们预计全球监管机构将开始关注这一领域，未雨绸缪，避免风险爆发。