一文解讀上汽大眾汽車網(wǎng)絡(luò)安全的應(yīng)急響應(yīng)流程

隨著智能網(wǎng)聯(lián)汽車滲透率的快速提升，越來越多的車載組件漏洞為攻擊者提供了入侵路徑。據(jù)悉，中汽數(shù)據(jù)CAVD漏洞庫截至今年8月底，已收錄超過3700個(gè)漏洞，涉及車型共1000多個(gè)，業(yè)內(nèi)“流行”的漏洞重復(fù)率更是達(dá)到了70%。

與此同時(shí)，真實(shí)網(wǎng)絡(luò)攻擊數(shù)量也逐年攀升，幾乎呈現(xiàn)幾何級(jí)增長(zhǎng)。中國(guó)工程院院士、清華大學(xué)教授***表示，僅今年上半年，針對(duì)車聯(lián)網(wǎng)平臺(tái)的網(wǎng)絡(luò)惡意行為已經(jīng)超過100萬次。

在這一背景下，國(guó)家對(duì)汽車網(wǎng)絡(luò)安全問題高度重視，針對(duì)汽車網(wǎng)絡(luò)、信息安全的法規(guī)、標(biāo)準(zhǔn)陸續(xù)出臺(tái)，用來檢驗(yàn)各車企的網(wǎng)絡(luò)安全綜合防護(hù)能力的實(shí)戰(zhàn)演練也逐漸頻繁，由上海市網(wǎng)信辦和通管局聯(lián)合舉辦“磐石行動(dòng)”就是其中之一。

在今年9月13日-15日舉辦的“談思AutoSec第七屆中國(guó)汽車網(wǎng)絡(luò)安全周”上，上汽大眾網(wǎng)絡(luò)安全控制與事件管理經(jīng)理徐彥晨就分享了上汽大眾的應(yīng)急響應(yīng)流程，以及其在今年6月舉辦的“磐石行動(dòng)2023”中的應(yīng)急演練實(shí)踐。

上汽大眾的應(yīng)急響應(yīng)流程

在介紹上汽大眾汽車網(wǎng)絡(luò)安全的應(yīng)急響應(yīng)流程之前，徐彥晨表示，現(xiàn)階段可能很多主機(jī)廠在整個(gè)汽車網(wǎng)絡(luò)安全管理體系的架構(gòu)下，有單獨(dú)的應(yīng)急響應(yīng)流程，但上汽大眾是把應(yīng)急響應(yīng)流程嵌入到整個(gè)架構(gòu)當(dāng)中的事件管理模塊下面。

上汽大眾的體系組織架構(gòu)圖的形成，是基于ISO21434以及國(guó)標(biāo)整車汽車信息技術(shù)安全要求的內(nèi)容。整個(gè)體系建設(shè)項(xiàng)目啟動(dòng)于2021年7月，在第一次向質(zhì)管會(huì)最高層進(jìn)行匯報(bào)后，陸陸續(xù)續(xù)也開展了很多自查，包括差距分析、試點(diǎn)審核，以及后面一系列的預(yù)審核工作，都是在為2024年年終的體系審核做準(zhǔn)備。

早在2021年2月，上汽大眾就開始對(duì)汽車網(wǎng)絡(luò)安全事件做收錄和處理工作，所以在審核證據(jù)當(dāng)中，最早可以查詢到的記錄是在這個(gè)體系建設(shè)項(xiàng)目開始之前。

有的主機(jī)廠可能是把網(wǎng)絡(luò)安全監(jiān)控和事件管理并在一個(gè)部門下面，上汽大眾在整個(gè)體系建設(shè)中，為方便管理，將它們分為兩個(gè)獨(dú)立、但又緊密交織的關(guān)系模塊。

不過，雖然說是兩個(gè)團(tuán)隊(duì)，但用的是一套班子、兩塊牌子，分別是網(wǎng)絡(luò)安全監(jiān)控和網(wǎng)絡(luò)安全實(shí)踐管理。

在整個(gè)應(yīng)急響應(yīng)流程中，上汽大眾定義了許多網(wǎng)絡(luò)安全監(jiān)控的渠道，有來自集團(tuán)的輸入（上汽集團(tuán)以及德國(guó)大眾），也有用戶反饋、產(chǎn)品研發(fā)、供應(yīng)商管理、新聞媒體輿論報(bào)道、監(jiān)管部門質(zhì)詢等。

其中，網(wǎng)絡(luò)安全監(jiān)控團(tuán)隊(duì)負(fù)責(zé)收集、篩選、傳遞，并進(jìn)行汽車網(wǎng)絡(luò)安全信息的跟蹤，當(dāng)這些信息流轉(zhuǎn)到了事件管理團(tuán)隊(duì)這邊，他們會(huì)做相關(guān)性的排查，以確定上汽大眾車型是否受影響，在做好分類分級(jí)后再做處置。

網(wǎng)絡(luò)安全實(shí)踐管理團(tuán)隊(duì)處理的事件主要分為車端、后臺(tái)、以及傳統(tǒng)的汽車網(wǎng)絡(luò)安全相關(guān)事件這三類，并根據(jù)攻擊的難易度、攻擊的向量是否可以實(shí)現(xiàn)攻擊、是網(wǎng)絡(luò)安全漏洞還是一個(gè)正在發(fā)生的事件，做進(jìn)一步分類，最后利用從攔保吸取的經(jīng)驗(yàn)以及法規(guī)要求，形成一套風(fēng)險(xiǎn)等級(jí)分析的方法論，并利用其來做風(fēng)險(xiǎn)分級(jí)。

“就像我說明的那樣，上汽大眾的應(yīng)急響應(yīng)流程是嵌入在事件管理當(dāng)中，當(dāng)常規(guī)的事件從信息監(jiān)控這邊流轉(zhuǎn)過來，從信息流轉(zhuǎn)到完成初步分析，我們規(guī)定在10天之內(nèi)，深入分析大概需要20天，從制定措施到措施實(shí)施，是在30-50天之內(nèi)。措施實(shí)施后，需要對(duì)每一個(gè)case進(jìn)行長(zhǎng)達(dá)6個(gè)月的跟蹤，直到所有監(jiān)控渠道沒有新反饋，才可以做經(jīng)驗(yàn)總結(jié)，直至把問題關(guān)閉?！毙鞆┏空f明道。

如果在初步分析階段，就發(fā)現(xiàn)該事件滿足了某一特定條件，就會(huì)將其升級(jí)為緊急case，進(jìn)而觸發(fā)應(yīng)急響應(yīng)的流程。

關(guān)于觸發(fā)應(yīng)急響應(yīng)流程的條件，一共制定了三種，第一種是基于團(tuán)隊(duì)總結(jié)歸納的方法論得出來的結(jié)果，第二種是根據(jù)流程及法規(guī)的要求，預(yù)設(shè)一些應(yīng)急響應(yīng)的場(chǎng)景，一旦傳遞過來的信息中有與預(yù)設(shè)場(chǎng)景相匹配的內(nèi)容，那么它也會(huì)被立即識(shí)別為緊急case，第三種就是來自政府的質(zhì)詢。

一旦觸發(fā)應(yīng)急響應(yīng)流程，安全團(tuán)隊(duì)就要盡全力去縮減所有上述每一個(gè)階段規(guī)定的時(shí)間，從初步分析到上報(bào)至汽車安全委員會(huì)，要在3天之內(nèi)完成，并且要快速制定臨時(shí)措施，在深入分析、措施制定、措施實(shí)施和有效性檢查之前的這些時(shí)間，跟常規(guī)事件處理的時(shí)間相比，整體壓縮了近一半。

網(wǎng)絡(luò)安全攻防實(shí)踐演練

今年6月，上汽大眾參與了由上海市網(wǎng)信辦和通管局聯(lián)合舉辦的“磐石行動(dòng)2023”，為積極響應(yīng)這次活動(dòng)，上汽大眾做了很多準(zhǔn)備。

據(jù)徐彥晨介紹，上汽大眾此次攻防演練的目標(biāo)有四個(gè)。“首先，不言而喻的是，任何一個(gè)安全體系應(yīng)急演練，幾乎都是強(qiáng)制性的。雖然《整車信息安全技術(shù)要求》中沒有明文要求企業(yè)執(zhí)行應(yīng)急演練，但在《汽車網(wǎng)絡(luò)安全應(yīng)急管理指南》中，規(guī)定主機(jī)廠每年要執(zhí)行至少一次二級(jí)以上的應(yīng)急演練。此外，通過攻防演練，可以從法規(guī)及流程上來檢驗(yàn)我們的網(wǎng)絡(luò)安全流程，這對(duì)我們?cè)趯?shí)際的體系認(rèn)證中也是很好的證據(jù)支撐?！?/p>

第二個(gè)目標(biāo)則體現(xiàn)在文化推廣層面。眾所周知，安全意識(shí)很大程度上能決定安全體系到底做到什么程度，而這次應(yīng)急演練不僅可以豐富文化活動(dòng)，還可以通過增加企業(yè)內(nèi)外部的曝光，讓更多人了解到上汽大眾在汽車網(wǎng)絡(luò)安全方面的積極性和技術(shù)力。

三是檢驗(yàn)內(nèi)部安全人員的協(xié)同能力以及流程的效率；四是響應(yīng)政府，建立與政府之間的良好聯(lián)動(dòng)。

在本次“磐石行動(dòng)2023”應(yīng)急演練中，上汽大眾遵循“應(yīng)急場(chǎng)景實(shí)戰(zhàn)化、應(yīng)急機(jī)制流程化、應(yīng)急處置平臺(tái)化、應(yīng)急工作可視化”的演練原則，從對(duì)實(shí)車進(jìn)行惡意攻擊，到車輛入侵檢測(cè)系統(tǒng)報(bào)警，到應(yīng)急事件處置流轉(zhuǎn)，到事件定位分析與修復(fù)，以及最后的應(yīng)急事件復(fù)盤與總結(jié)，實(shí)現(xiàn)了應(yīng)急響應(yīng)全生命周期的攻防演練，使用了例如應(yīng)急響應(yīng)作戰(zhàn)室、車輛安全態(tài)勢(shì)感知平臺(tái)、應(yīng)急響應(yīng)事件監(jiān)測(cè)平臺(tái)、車輛入侵檢測(cè)和防御系統(tǒng)(IDPS)以及車輛軟件升級(jí)平臺(tái)等一系列數(shù)字化平臺(tái)與產(chǎn)品。

徐彥晨提到，從整個(gè)項(xiàng)目啟動(dòng)，到體系調(diào)研，再到演練方案確認(rèn)，加上演練前的相關(guān)人員培訓(xùn)，上汽大眾共計(jì)耗時(shí)近兩個(gè)月。

為從真實(shí)角度出發(fā)，上汽大眾委托了帆一尚行，對(duì)其較為關(guān)注的三個(gè)組件，做了相關(guān)的汽車網(wǎng)絡(luò)安全滲透測(cè)試，然后將滲透測(cè)試結(jié)果對(duì)應(yīng)到上汽大眾不同的網(wǎng)絡(luò)安全監(jiān)控渠道，包括IDS的監(jiān)控、政府窗口對(duì)接、Vsoc監(jiān)控人員、供應(yīng)商管理、用戶管理，來讓不同渠道檢驗(yàn)他們對(duì)待緊急事件發(fā)生時(shí)的響應(yīng)能力。而此次演練也以圓滿成功收尾。

編輯：黃飛