作者：William “Bill” Malik（基礎架構策略CISA副總）
連網汽車正在發展中。全球數量在 2018 年到 2022 年間估計會成長270%，預計在幾年內達到1.25億。跟傳統汽車比起來，這些汽車更像是有四個輪子的高性能行動電腦，配備網際網路連線、可經由應用程式進行遠端監視和管理、先進的駕駛輔助及自動駕駛等功能。但這也讓它們更容易遭受機敏資料竊取及遠端操縱的影響，可能造成嚴重的人身安全問題。
這裡是需要新標準的地方。ISO/SAE 21434 道路車輛網路安全工程的國際標準,為汽車產業提供了詳細的指南，有助於應對這些挑戰並減少對商譽及網路帶來的風險。趨勢科技的一份新報告詳細介紹了產業相關人士的需要，以及我們身為網路安全專家所提出的建議。
現代化汽車裝配超過 100 個引擎控制單元（ECU），攻擊者劫持 ECU 就能夠橫向移動到車內的任何目標
現代化的汽車功能遠遠不止於將人們從A點運送到B點。它們具備運算能力、感應器、資訊娛樂系統和連線功能，有助於加強汽車使用體驗、交通安全和車輛維護等。但這些也帶來了複雜性，導致網路安全漏洞的出現。
比方說，許多現代化的汽車裝配超過100個引擎控制單元（ECU），透過軟體來控制從引擎、懸吊到煞車的一切事情。攻擊者劫持 ECU 就能夠橫向移動到車內的任何目標，可以遠端造成危及生命的事故。
正如我們的報告中所提到，防護連網汽車會面臨三個基本問題：
- 漏洞難以修補，因為汽車供應鏈高度成熟、韌體相互操作性和更新週期長。且如果更新失敗，可能讓車輛無法使用。
- ECU間的連線協定在設計時沒有考慮到安全性，讓攻擊者能夠進行橫向移動。
- 零部件產品和服務成為風險暴露的第三方領域。就像智慧住宅裡不安全的IoT裝置，攻擊者能夠利用它們來轉進車內更加敏感的部分。
早在幾年前就有研究強調了這些漏洞，而隨著連網汽車數量的增長，真實世界內的攻擊也開始出現。攻擊場景從使用者應用程式到網路協定，再到控制器區域網路（CAN bus）、車載軟體等都有。簡言之，壞人收割不少，而汽車廠商則損失很大。
緩解汽車網路安全和風險
所以新標準出現了。ISO/SAE 21434 ”道路車輛網路安全工程（Road vehicles – Cybersecurity engineering）”是典型冗長且詳盡的文件，目的是提升整個供應鏈（從車輛設計和工程設計到退役）的汽車網路安全和風險緩解。
作為汽車產業的長期合作者，趨勢科技相當歡迎新標準的到來，在出現越來越多攻擊者的時候可以提升基於安全的設計。事實上，全球十大汽車公司有八家已經將趨勢科技的解決方案用於其企業IT環境。
為了遵循ISO/SAE 21434並保護連網汽車，組織需要對整個連網汽車生態系（包括：車輛，網路和後端系統）有著全面性的可視性和控制。他們接著應該考慮建立車輛安全營運中心（VSOC）來管理來自三個領域的通知，並建立對整個生態系的俯視圖。
在每個關鍵領域考慮下列功能：
車輛：偵測車內漏洞和可能的漏洞攻擊，包括了將車內網路連接外部網路的關鍵裝置，比方說，車載資訊娛樂系統（IVI）和遠端資訊處理控制單元（TCU）。
網路：部署網路安全策略，監視流量以偵測和預防威脅，包括車輛與後端雲端與資料中心間的連線。
後端：保護資料中心、雲端和容器免於已知和未知威脅和臭蟲影響，避免影響效能。
車輛SOC：透過關聯端點、網路和後端系統所偵測威脅及分別通知來採取快速有效的行動，從而全面性地了解各個要素。
產業界在這段不確定的時期，取得領先地位及應對新ISO/SAE標準所可能造成的本地法律變化都是必要的。對於希望從艱難市場中脫穎而出並透過保護客戶做正確事情的汽車廠商，趨勢科技能夠為你提供協助。
想了解更多資訊，請到此閱讀完整的報告。
＠原文出處：ISO/SAE 21434: It’s time to put the brakes on connected car cyber-threats
訂閱資安趨勢電子報