點擊上方藍(lán)字談思實驗室

獲取更多汽車網(wǎng)絡(luò)安全資訊

THREAT ANALYSIS & RISK ASSESSMENT AND VULNERABILITY ANALYSIS METHODS 是概念階段用到的核心方法，也是整個系統(tǒng)安全的起點工程。在計算機(jī)網(wǎng)絡(luò)發(fā)展的多年來，也提出了很多方法。本文主要介紹針對汽車工程的兩個方法EVITA和HEVENS。

E-Safety Vehicle Intrusion Protected Applications是歐盟于2008年發(fā)起的一個針對網(wǎng)聯(lián)汽車安全的項目，其目標(biāo)是設(shè)計一個車載網(wǎng)絡(luò)的體系結(jié)構(gòu)的原型，使其中與網(wǎng)絡(luò)安全相關(guān)的組件受到保護(hù)。EVITA方法主要參考ISO/IEC 15408 (7)和ISO 26262，設(shè)立了四個安全目標(biāo)：可用性（Operational），功能安全（safety），隱私（privacy）和資產(chǎn)（Financial）。

對于每個網(wǎng)絡(luò)安全目標(biāo)，EVITA項目考慮:

威脅識別:使用“暗面”場景和攻擊樹來識別一般性威脅，從而識別一般性威脅網(wǎng)絡(luò)安全的需求。威脅分類:根據(jù)威脅結(jié)果的嚴(yán)重程度和成功攻擊的概率，制定了對威脅風(fēng)險進(jìn)行分類的建議。

對于每個嚴(yán)重度等級可以從下表獲得（與26262相比，其拓展了非功能安全相關(guān)的目標(biāo)）

在EVITA中成功攻擊的概率基于IT安全評估中使用的“攻擊潛力”概念，并同時考慮攻擊者和系統(tǒng)。對于攻擊者，攻擊潛力考慮許多因素，例如攻擊者確定如何攻擊系統(tǒng)和成功執(zhí)行攻擊所需的時間、攻擊者所需的專業(yè)知識、系統(tǒng)所需的知識、對專業(yè)設(shè)備的需求等。每一個因素都應(yīng)用一個矩陣表示（就像嚴(yán)重度一樣），最后攻擊潛力由以下矩陣確定。

將以上兩者作為兩個維度就可以合成威脅的等級，不過這個又分為了兩類；一類是privacy, financial, and operational這三個no-safety的，而safety的要再考慮可控性（同26262）。

可控性用于評估人類以某種方式避免與安全相關(guān)的潛在事故的可能性。可控性分類為C1- C4。其中C1表示正常的人類反應(yīng)有可能避免事故，C4表示人類不能以任何方式避免事故。

最后safety類的風(fēng)險矩陣為：

EVITA方法是一個總體性架構(gòu)。在面對特定的特征或系統(tǒng)層面的時候采用THROP方法，ＴＨＲＯＰ方法脫胎于HAZOP (Hazard and Operability Analysis)方法，只不過將風(fēng)險分析變?yōu)橥{分析。其分為三步：

1. 確定特征的最小功能，作為分析對象

2. 確定潛在威脅

3. 確定“暗面”的最壞場景

然后就按照EVITA方法進(jìn)行風(fēng)險等級的確定。

HEVENS方法也是歐洲的一個項目產(chǎn)生的，很多相關(guān)研究可以參考查爾姆斯理工大學(xué)的一些詳細(xì)研究。

HEVENS: link.

其方法主要有三個過程：

威脅分析―――風(fēng)險評估―――安全需求

威脅分析

-輸入：描述的功能用例圖；輸出：資產(chǎn)與威脅的映射，威脅與安全要素的映射（采用STRIDE方法）

風(fēng)險評估

-輸入：資產(chǎn)與威脅的映射、威脅等級、影響等級；輸出：風(fēng)險（安全）等級

威脅等級確定：

影響等級確定（影響等級對應(yīng)的四個目標(biāo)與EVITA一致）

最后將以上四個合成最后的IL

最后第二步的輸出為

安全需求

-輸入：威脅與安全要素的映射、安全等級；輸出：最高等級的安全需求（因為對同一資產(chǎn)可能有不同的安全等級，這里取最高的）

HEVENS和EVITA明顯的一個區(qū)別就是在威脅分析的時候，HEVENS是基于安全要素的，采用STRIDE而EVITA是基于場景的，采用攻擊樹。另外，HEVENS考慮的維度更細(xì)致，其流程更加規(guī)范。

來源：CSDN@聞著文也

原文鏈接：

https://blog.csdn.net/Pan_w_w/article/details/106022699