360發布報告 構建主動縱深防御方案應對智能網聯汽車安全問題

3月24日，360發布了《2019智能網聯汽車信息安全年報》，這標志著360連續第五年發布智能網聯車輛信息安全年報。報告總結了智能網聯汽車網絡安全方面的進展，并建議深入構建主動防御戰略，以解決2019年出現的安全問題，以保障智能網聯車輛的“新四化”。

360安全通信模塊上新攻擊方法的到來將解決汽車制造商面臨的大部分困難。通信模塊是車輛批量控制的根本原因。2019年8月，百度在黑帽世界黑客大會上宣布，黑客可以通過APN直接訪問車廠后端核心網絡內的資源，從而進行控制車輛的攻擊。2019年12月，360智能網聯汽車安全實驗室在與梅賽德斯-奔馳的研究中也利用了這些漏洞，使用新的攻擊方法實現了批量遠程打開和關閉車門、發動機啟動和關閉以及其他車輛控制操作，影響了200多萬輛梅賽德斯-奔馳汽車。

在發現這種新的攻擊方法后，360智能網聯汽車安全實驗室投入了安全通信模塊的研發。通過升級和翻新傳統通信模塊，在現有模塊基礎設施中增加了安全芯片，以建立安全存儲機制。與運行在安全環境中的TEE環保關鍵應用服務集成，并嵌入入侵檢測和保護模塊，在TCU側提供安全監控，檢測異常行為，并與攻擊者進行動態攻防對抗。通過主動防御抵御新的車聯網攻擊。

經過廣泛的研究和分析，發現大多數汽車制造商都存在類似的安全漏洞，無法感知此類新攻擊的發生。因此，360智能網聯汽車安全實驗室的安全通信模塊顯得尤為必要。自動攻擊模式頻繁出現。黑客視角服務滲透測試報告分析了2019年發生的多起汽車安全事件，涵蓋了通信模塊、PKES車鑰匙、TSP服務器和移動應用程序等漏洞的使用。黑客不僅探索了智能網聯汽車的更多攻擊面，而且對每個攻擊面都進行了更深入的研究。

以數字汽車鑰匙系統的攻擊事件為例，通過中繼攻擊來放大鑰匙的信號，使鑰匙在距離汽車較短的距離內接收并響應射頻信號，完成一個完整的挑戰-響應通信過程，最終盜竊車輛。還有一些方法可以通過研究PKES加密算法、破解汽車鑰匙、利用算法漏洞和復制汽車鑰匙來解鎖車輛。從攻擊成本來看，黑客和安全研究人員開發的PKES汽車鑰匙攻擊設備價格不高，易于攜帶。研究人員聲稱，復制汽車鑰匙的破解工具只需要Raspberry Pi 3 Model B+、一個負責RFID嗅探和克隆的Proxmark3、一個Yard Stick One天線和一個用于供電的USB充電寶，總價不超過600美元，可以很容易地放在背包里。汽車鑰匙盜竊設備的中繼攻擊方法和教程甚至可以在網上購買。

智能網聯汽車需要一種新的安全測試模式來應對各種黑客攻擊。360智能網聯汽車安全實驗室結合安全威脅情報，采用黑匣子測試方法，全面模擬黑客攻擊。基于車聯網的“云”、“管理”和“端”三大結構，結合各種組件/系統的安全問題，進行車輛級安全測試，綜合判斷安全問題的危害和影響范圍，并提出合理的安全建議，從黑客的角度提供全面的滲透測試服務。

發現,奔馳,遠程“src=”/eimg/｛HostI｝/img/20230313164925620886/5.jpg“/>

全面實施汽車網絡安全標準。需要360條建議和積極的防御策略。2020年是全面實施汽車網絡安全標準的一年。ISO/SAE 21434將為汽車產業鏈中系統網絡安全系統的構建提供方法指導。ITU-T、SAC/TC114/SC34、SAC/TC260和CCSA等組織和聯盟的一系列汽車網絡安全技術標準為安全技術的實施提供了參考。

然而，目前，大多數安全標準都提供了基線安全要求。在動態變化的網絡安全環境中，僅僅遵循標準并使用密碼應用程序等被動防御機制是不夠的。新興的攻擊方式層出不窮，需要構建多維度的安全防護體系，增強安全監控等主動防御能力。

回顧2019年，隨著汽車信息安全事件的快速增長和攻擊的層出不窮，《報告》對汽車制造商、供應商和服務提供商提出了五點建議：1。供應鏈中的汽車制造商應將定期的網絡安全滲透測試作為關鍵的評估標準，從質量體系、技術能力和管理水平等方面對供應商進行綜合評估。2.堅持汽車網絡安全標準，建立企業網絡安全體系，培養網絡安全文化，建立監管機制，開展全生命周期的網絡安全活動。3種被動防御解決方案無法應對新興的網絡安全攻擊方式，因此需要部署安全通信模塊、安全汽車網關等新的安全防護產品，實時監控異常流量、IP地址、系統行為等，主動檢測攻擊行為，并及時警告和阻止。通過多節點聯動，構建了一個由點到面的層次化縱深防御體系。網絡安全環境不斷變化，安全運營平臺可以通過監控車輛聯網端、管理和云數據，結合準確的安全威脅情報，跟蹤和分析安全事件，及時發現和修復已知漏洞。在安全大數據的支持下，安全運營平臺不斷迭代檢測策略，優化安全事件處理機制，將車聯網的海量數據可視化，實時掌握車輛的網絡安全狀況。良好的汽車安全生態系統的建設有賴于真誠的合作，以及行業內的專業知識。互聯網公司和安全公司依靠在傳統IT領域的技術積累和積累，緊跟汽車網絡安全的快速發展，對相關汽車電子電氣產品和解決方案有著獨特的研究和見解。“軟件定義汽車”在汽車行業的重大轉型，需要上下游企業各司其職，取長補短，形成合力，共同將汽車網絡安全提升到“縱深主動防御”的新水平。

標簽：發現奔馳遠程

汽車資訊熱門資訊