點擊上方藍字談思實驗室
獲取更多汽車網絡安全資訊
零部件的TARA分析方法，可以分為5個大步驟：
分析準備，充分了解零部件軟硬件架構及功能實現邏輯
繪制DFD流圖，明確各場景數據流轉關系，識別資產
開展危險分析，應用STRIDE模型構建危險場景
開展風險評估，通過IL 、TL兩個維度評估風險等級
根據風險評估結果制定網絡安全目標及需求
01
分析過程
1）TARA分析準備：
在開展TARA分析前，先做準備工作，將產品的現狀進行調研并做材料梳理。
調研內容從多個層面展開：
1）產品整體功能及架構
2）硬件層
3）操作系統層
4）軟件層
5）數據層
2）繪制數據流圖DFD：
數據流圖也稱為數據流程圖 Date Flow Diagram DFD，是一種便于用戶理解和分析系統數據流程的圖形工具，是數據流、數據存儲區和數據源與目標之間關系的圖形化表示。
3）DFD分級：
DFD按照劃分詳細度，可分為3個等級，分別為Level0，Level1，Level2。Level0：在零件級打包，不打開內部結構。
Level1：在零部件層級Level1，應將自身零部件“打開”，識別內部零部件中的個組件，并根據在某特定場景下，將各組件的數據流轉關系，繪制出來。
Level2：在零部件層級Level2，進一步將復雜進行打開，明確復雜進程內部的不同組部分，并分析他們的數據流轉關系以識別重要的網絡安全資產。
4）威脅分析：
利用STRIDE模型來識別威脅。
每類 元素可能面臨的威脅，可看出，只有進程才可能面臨STRIDE 6種所有威脅，需要對6種威脅逐個全部分析，外部實體只有S和R項有（對號，被選中），即指實體只能面臨“偽冒”和“抵賴”兩種威脅，數據流對應的TID有（對號，被選中），數據流就只有分析“篡改”和“信息泄露”、“拒絕服務”三種威脅。在數據存儲這里有個需要注意的，R項的勾是紅色，是指數據存儲的R（抵賴）可能有也可能沒有，只有當分析的數據存儲用作審計時，采要去分析R抵賴的威脅，不作為審計使用就不用分析R抵賴威脅。
根據DFD，識別到產品種的資產包括以下內容，二針對不同資產及類型，又可以應用STRIDE模型進行威脅分析。
5）風險評估（安全等級評估）：
威脅等級TL是由以下因素組成（每個因素各分4檔打分，最后通過計算模型綜合評價）
攻擊者花費的時間
攻擊者的專業水平
攻擊者對被攻擊對象的了解情況
攻擊者的機會窗口
攻擊所需要的設備
影響等級IL包括四個方面的影響（每個方面的影響都在按照4檔打分）：
安全影響Safety
財務影響Finanaical
隱私影響Privacy
運行控制印象Operation
來源：
https://blog.csdn.net/king110108/article/details/129763773
end
談思汽車媒體門戶
精品活動推薦
AutoSec系列沙龍
專業社群
部分入群專家來自：
新勢力車企：
特斯拉、理想、極氪、小米、零跑汽車、阿維塔汽車、智己汽車、小鵬、嵐圖汽車、蔚來汽車、吉祥汽車、賽力斯......
外資傳統主流車企代表:
大眾中國、大眾酷翼、奧迪汽車、寶馬、福特、戴姆勒-奔馳、通用、保時捷、沃爾沃、現代汽車、日產汽車、捷豹路虎、斯堪尼亞......
內資傳統主流車企：
吉利汽車、上汽乘用車、長城汽車、上汽大眾、長安汽車、北京汽車、東風汽車、廣汽、比亞迪、一汽集團、一汽解放、東風商用、上汽商用......
全球領先一級供應商：
博世、大陸集團、聯合汽車電子、安波福、采埃孚、科世達、舍弗勒、霍尼韋爾、大疆、日立、哈曼、華為、百度、聯想、聯發科、普瑞均勝、德賽西威、蜂巢轉向、均聯智行、武漢光庭、星紀魅族、中車集團、濰柴集團、地平線、紫光同芯、字節跳動、......
二級供應商(500+以上)：
中科數測、ETAS、BlackDuck、NXP、上海軟件中心、Deloitte、奇安信、為辰信安、云馳未來、信長城、澤鹿安全、紐創信安、復旦微電子、天融信、奇虎360、中汽中心、中國汽研、上海汽檢、加特蘭微電子、浙江大學......
人員占比
公司類型占比
文章
關于涉嫌仿冒AutoSec會議品牌的律師聲明
一文帶你了解智能汽車車載網絡通信安全架構
網絡安全：TARA方法、工具與案例
汽車數據安全合規重點分析
淺析汽車芯片信息安全之安全啟動
域集中式架構的汽車車載通信安全方案探究
系統安全架構之車輛網絡安全架構
車聯網中的隱私保護問題
智能網聯汽車網絡安全技術研究
AUTOSAR 信息安全框架和關鍵技術分析
AUTOSAR 信息安全機制有哪些？
信息安全的底層機制
汽車網絡安全
Autosar硬件安全模塊HSM的使用
首發!小米雷軍兩會上就汽車數據安全問題建言：關于構建完善汽車數據安全管理體系的建議
