360发布报告 构建主动纵深防御方案应对智能网联汽车安全问题

3月24日，360发布了《2019智能网联汽车信息安全年报》，这标志着360连续第五年发布智能网联车辆信息安全年报。报告总结了智能网联汽车网络安全方面的进展，并建议深入构建主动防御战略，以解决2019年出现的安全问题，以保障智能网联车辆的“新四化”。

360安全通信模块上新攻击方法的到来将解决汽车制造商面临的大部分困难。通信模块是车辆批量控制的根本原因。2019年8月，百度在黑帽世界黑客大会上宣布，黑客可以通过APN直接访问车厂后端核心网络内的资源，从而进行控制车辆的攻击。2019年12月，360智能网联汽车安全实验室在与梅赛德斯-奔驰的研究中也利用了这些漏洞，使用新的攻击方法实现了批量远程打开和关闭车门、发动机启动和关闭以及其他车辆控制操作，影响了200多万辆梅赛德斯-奔驰汽车。

在发现这种新的攻击方法后，360智能网联汽车安全实验室投入了安全通信模块的研发。通过升级和翻新传统通信模块，在现有模块基础设施中增加了安全芯片，以建立安全存储机制。与运行在安全环境中的TEE环保关键应用服务集成，并嵌入入侵检测和保护模块，在TCU侧提供安全监控，检测异常行为，并与攻击者进行动态攻防对抗。通过主动防御抵御新的车联网攻击。

经过广泛的研究和分析，发现大多数汽车制造商都存在类似的安全漏洞，无法感知此类新攻击的发生。因此，360智能网联汽车安全实验室的安全通信模块显得尤为必要。自动攻击模式频繁出现。黑客视角服务渗透测试报告分析了2019年发生的多起汽车安全事件，涵盖了通信模块、PKES车钥匙、TSP服务器和移动应用程序等漏洞的使用。黑客不仅探索了智能网联汽车的更多攻击面，而且对每个攻击面都进行了更深入的研究。

以数字汽车钥匙系统的攻击事件为例，通过中继攻击来放大钥匙的信号，使钥匙在距离汽车较短的距离内接收并响应射频信号，完成一个完整的挑战-响应通信过程，最终盗窃车辆。还有一些方法可以通过研究PKES加密算法、破解汽车钥匙、利用算法漏洞和复制汽车钥匙来解锁车辆。从攻击成本来看，黑客和安全研究人员开发的PKES汽车钥匙攻击设备价格不高，易于携带。研究人员声称，复制汽车钥匙的破解工具只需要Raspberry Pi 3 Model B+、一个负责RFID嗅探和克隆的Proxmark3、一个Yard Stick One天线和一个用于供电的USB充电宝，总价不超过600美元，可以很容易地放在背包里。汽车钥匙盗窃设备的中继攻击方法和教程甚至可以在网上购买。

智能网联汽车需要一种新的安全测试模式来应对各种黑客攻击。360智能网联汽车安全实验室结合安全威胁情报，采用黑匣子测试方法，全面模拟黑客攻击。基于车联网的“云”、“管理”和“端”三大结构，结合各种组件/系统的安全问题，进行车辆级安全测试，综合判断安全问题的危害和影响范围，并提出合理的安全建议，从黑客的角度提供全面的渗透测试服务。

发现,奔驰,远程“src=”/eimg/｛HostI｝/img/20230313164925620886/5.jpg“/>

全面实施汽车网络安全标准。需要360条建议和积极的防御策略。2020年是全面实施汽车网络安全标准的一年。ISO/SAE 21434将为汽车产业链中系统网络安全系统的构建提供方法指导。ITU-T、SAC/TC114/SC34、SAC/TC260和CCSA等组织和联盟的一系列汽车网络安全技术标准为安全技术的实施提供了参考。

然而，目前，大多数安全标准都提供了基线安全要求。在动态变化的网络安全环境中，仅仅遵循标准并使用密码应用程序等被动防御机制是不够的。新兴的攻击方式层出不穷，需要构建多维度的安全防护体系，增强安全监控等主动防御能力。

回顾2019年，随着汽车信息安全事件的快速增长和攻击的层出不穷，《报告》对汽车制造商、供应商和服务提供商提出了五点建议：1。供应链中的汽车制造商应将定期的网络安全渗透测试作为关键的评估标准，从质量体系、技术能力和管理水平等方面对供应商进行综合评估。2.坚持汽车网络安全标准，建立企业网络安全体系，培养网络安全文化，建立监管机制，开展全生命周期的网络安全活动。3种被动防御解决方案无法应对新兴的网络安全攻击方式，因此需要部署安全通信模块、安全汽车网关等新的安全防护产品，实时监控异常流量、IP地址、系统行为等，主动检测攻击行为，并及时警告和阻止。通过多节点联动，构建了一个由点到面的层次化纵深防御体系。网络安全环境不断变化，安全运营平台可以通过监控车辆联网端、管理和云数据，结合准确的安全威胁情报，跟踪和分析安全事件，及时发现和修复已知漏洞。在安全大数据的支持下，安全运营平台不断迭代检测策略，优化安全事件处理机制，将车联网的海量数据可视化，实时掌握车辆的网络安全状况。良好的汽车安全生态系统的建设有赖于真诚的合作，以及行业内的专业知识。互联网公司和安全公司依靠在传统IT领域的技术积累和积累，紧跟汽车网络安全的快速发展，对相关汽车电子电气产品和解决方案有着独特的研究和见解。“软件定义汽车”在汽车行业的重大转型，需要上下游企业各司其职，取长补短，形成合力，共同将汽车网络安全提升到“纵深主动防御”的新水平。

标签：发现奔驰远程

汽车资讯热门资讯