俞之浩/文

現(xiàn)在各行各業(yè)都在加速數(shù)字化轉(zhuǎn)型，技術(shù)不斷更新迭代，這背后離不開軟件的支持。軟件是數(shù)字化轉(zhuǎn)型的核心，使企業(yè)能夠以創(chuàng)新的方式為客戶創(chuàng)造價值。如果由于軟件的安全漏洞而遭受攻擊，意味著業(yè)務(wù)運(yùn)營存在危險。因此，各大企業(yè)都在積極部署軟件安全計(jì)劃，以便更順暢地完成數(shù)字化轉(zhuǎn)型，獲得用戶的信賴。

當(dāng)前，數(shù)字化浪潮正席卷各行各業(yè)，自動駕駛、5G、人工智能等新技術(shù)在汽車領(lǐng)域得到了廣泛應(yīng)用，智能網(wǎng)聯(lián)汽車迎來發(fā)展的“風(fēng)口”期。隨之軟件缺陷及漏洞使攻擊者有可乘之機(jī)。加強(qiáng)智能汽車網(wǎng)絡(luò)安全、完善汽車產(chǎn)業(yè)安全生態(tài)迫在眉睫。

對全球汽車企業(yè)的網(wǎng)絡(luò)安全團(tuán)隊(duì)來說，2022年一定異常忙碌。因?yàn)楫?dāng)網(wǎng)絡(luò)安全從一個熱點(diǎn)技術(shù)上升為市場準(zhǔn)入與合規(guī)的必備條件，充滿挑戰(zhàn)的時間表清晰地?cái)[在了全行業(yè)面前。例如，關(guān)于網(wǎng)絡(luò)安全的聯(lián)合國第155號法(UNECE R155)于2021年初生效，有兩個日期具有約束力：從2022年7月起，歐洲經(jīng)委會成員國（1958年協(xié)定）內(nèi)的要求將適用于所有新車型，于2024年7月起適用于所有車輛。

作為全球最大的汽車市場，中國對車輛網(wǎng)絡(luò)安全相關(guān)的法規(guī)標(biāo)準(zhǔn)也在緊鑼密鼓地推進(jìn)。2021年9月，中國工業(yè)和信息化部裝備工業(yè)發(fā)展中心印發(fā)了《關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》，要求整車企業(yè)對汽車數(shù)據(jù)安全、網(wǎng)絡(luò)安全、軟件在線升級、駕駛輔助功能情況開展自我核查，于2021年10月12日前上報(bào)相關(guān)自查結(jié)果。

汽車企業(yè)網(wǎng)絡(luò)安全團(tuán)隊(duì)“被迫成長”

雖然各個標(biāo)準(zhǔn)都明確了具體要求，但是網(wǎng)絡(luò)安全團(tuán)隊(duì)需要面對一些繁雜的條規(guī)進(jìn)行梳理，制定符合企業(yè)現(xiàn)狀且可實(shí)際落地的工作行動計(jì)劃。

一方面，將原本僅對個別安全活動的關(guān)注，例如威脅分析、滲透測試等，變?yōu)橐粋€流程化的網(wǎng)絡(luò)安全管理系統(tǒng)(CSMS,Cyber Security Management System)；另一方面，需要在緊迫的合規(guī)要求時間點(diǎn)前，集中有限資源，更高效地來建立企業(yè)安全能力。點(diǎn)與面，深度與廣度，都需要汽車企業(yè)的網(wǎng)絡(luò)安全團(tuán)隊(duì)來解決。

BSIMM成為安全團(tuán)隊(duì)的“他山之石”

軟件安全構(gòu)建成熟度模型（BSIMM,the Building Security In Maturity Model）是業(yè)界最佳安全實(shí)踐模型之一，由新思科技(Synopsys)和BSIMM社區(qū)自2008年起合作開發(fā)，旨在幫助企業(yè)規(guī)劃、執(zhí)行、評估和完善其軟件安全計(jì)劃(SSI)，迄今已迭代了12個版本。

車輛行業(yè)的網(wǎng)絡(luò)安全問題絕大部分是與車輛聯(lián)網(wǎng)化、智能化趨勢有關(guān)。隨著整個行業(yè)掀起軟件定義汽車(SDV,Software Define Vehicle)的熱潮，Synopsys相信對軟件安全問題的關(guān)注只會有增無減。眾多物聯(lián)網(wǎng)垂直企業(yè)以及高科技生產(chǎn)企業(yè)已經(jīng)采用了BSIMM評估，衡量及創(chuàng)建產(chǎn)品相關(guān)的安全活動，而不僅限于針對軟件或應(yīng)用程序。

治理主導(dǎo)與工程主導(dǎo)

最新BSIMM12發(fā)現(xiàn)企業(yè)為達(dá)到成熟的安全體系會采用兩種路徑：通過合規(guī)要求，自上而下地推進(jìn)安全體系建設(shè)；通過工程團(tuán)隊(duì)自下而上地來提高安全能力。以治理為主導(dǎo)的團(tuán)隊(duì)通常專注于規(guī)則、門檻和合規(guī)性；而以工程為主導(dǎo)的團(tuán)隊(duì)通常專注于功能速度、通過自動化避免錯誤和軟件彈性。

目前，眾多汽車企業(yè)采取由工程項(xiàng)目來驅(qū)動完整網(wǎng)絡(luò)安全體系建設(shè)的做法，但從企業(yè)長遠(yuǎn)發(fā)展的角度出發(fā)，網(wǎng)絡(luò)安全團(tuán)隊(duì)?wèi)?yīng)該具有全局意識，從整體框架上著手，需要得到企業(yè)內(nèi)部足夠的支持，還不僅局限在具體項(xiàng)目層面。

威脅分析與風(fēng)險評估

2021年另外一個重要行業(yè)法規(guī)——ISO/SAE 21434《道路車輛-網(wǎng)絡(luò)安全工程》（Road vehicles Cyber security engineering）發(fā) 布 。 ISO/SAE 21434為車輛產(chǎn)品的全生命周期，定義了網(wǎng)絡(luò)安全流程要求以及網(wǎng)絡(luò)安全風(fēng)險管理的框架。

直到ISO/SAE 21434的正式發(fā)布版本，才使用了威脅分析與風(fēng)險評估(TARA,Threat Analysis and Risk Assessment)這個名詞來替換之前版本中所使用的比較普適的風(fēng)險評估(Risk Assessment)，并將其作為一個單獨(dú)章節(jié)來規(guī)定TARA活動的工作交付物及相關(guān)需求。這在一定程度上反映了整個車輛行業(yè)對于TARA活動的重視。

BSIMM安全框架在情報(bào)這個領(lǐng)域中強(qiáng)調(diào)了攻擊模型這個實(shí)踐。攻擊模型實(shí)踐特指從攻擊者的角度思考安全問題，并收集相關(guān)的信息，包括威脅建模輸入、濫用案例、數(shù)據(jù)分類和特定技術(shù)的攻擊模式等。在最新的BSIMM12報(bào)告中，攻擊模型這個實(shí)踐闡述了11項(xiàng)被觀察到的具有典型意義的安全活動，其可作為參考幫助安全團(tuán)隊(duì)補(bǔ)齊在這方面的不足。

滲透測試

汽車企業(yè)網(wǎng)絡(luò)安全團(tuán)隊(duì)利用滲透測試來發(fā)現(xiàn)暴露產(chǎn)品漏洞，推動安全需求的落地。在BSIMM12報(bào)告顯示，有87%的受訪參與企業(yè)被會利用外部的滲透測試服務(wù)來發(fā)現(xiàn)問題。

滲透測試項(xiàng)目一般對于測試人員會有一個固定的測試項(xiàng)目周期要求，而且很多都是以黑盒的方式對測試人員提供測試環(huán)境和目標(biāo)。所以往往測試人員會花比較多的精力和時間在發(fā)現(xiàn)系統(tǒng)漏洞上，而在有限的項(xiàng)目時限里很難去深挖一些比如業(yè)內(nèi)未知的漏洞，或擴(kuò)大滲透的覆蓋率。

BSIMM12報(bào)告還提出，安全團(tuán)隊(duì)?wèi)?yīng)該盡可能地向滲透測試人員提供可用的技術(shù)信息，無論是內(nèi)部還是外部，都能夠使用可用的源代碼、設(shè)計(jì)文檔、架構(gòu)分析結(jié)果、誤用和濫用案例、代碼審查結(jié)果以及云環(huán)境等部署配置來做更深入的分析，發(fā)現(xiàn)更多有趣的問題，將黑盒變?yōu)榛液小?/p>

安全事件響應(yīng)

沒有100%安全的系統(tǒng)和產(chǎn)品，所以安全的一個主要目標(biāo)是能夠及時有效地對安全事件做出響應(yīng)，做好風(fēng)險管理，及時整改。同ISO/SAE 21434標(biāo)準(zhǔn)和UNECE R155法規(guī)中特別強(qiáng)調(diào)了安全事件響應(yīng)流程一樣，在最新的BSIMM12報(bào)告中，BSIMM軟件安全框架中也有針對性地定義了配置管理和漏洞管理這個安全實(shí)踐，并闡述了相關(guān)的12個安全活動。例如，創(chuàng)建事件響應(yīng)機(jī)制或者與事件響應(yīng)團(tuán)隊(duì)交流。有84%的BSIMM12參與企業(yè)已啟動了這個流程，讓其軟件安全小組與組織的事件響應(yīng)小組聯(lián)系起來，以保持關(guān)鍵安全信息的雙向流動。

對于網(wǎng)絡(luò)安全領(lǐng)域來說，挑戰(zhàn)來源于外部不斷演進(jìn)變化的威脅。企業(yè)的安全團(tuán)隊(duì)需要一個持續(xù)改進(jìn)的工作驅(qū)動模式。一直以來，Synopsys支持企業(yè)管理應(yīng)用安全，構(gòu)建可信軟件。除了BSIMM評估，公司還提供覆蓋軟件開發(fā)生命周期的安全測試解決方案，包括Coverity靜態(tài)應(yīng)用安全測試和Black Duck軟件組成分析，幫助客戶有效管理軟件風(fēng)險，構(gòu)建產(chǎn)業(yè)安全生態(tài)。