CN116669037B

CN116669037B - 一种智能网联汽车安全评估方法、装置及存储介质

Info

Publication number: CN116669037B
Application number: CN202310891068.2A
Authority: CN
Inventors: 左金鑫; 齐佳豪; 郭辰青; 陆月明; 曹若菡; 颉夏青; 郭亿鸿; 郭子裕
Original assignee: Beijing University of Posts and Telecommunications
Current assignee: Beijing University of Posts and Telecommunications
Priority date: 2023-07-20
Filing date: 2023-07-20
Publication date: 2023-10-13
Anticipated expiration: 2043-07-20
Also published as: CN116669037A

Abstract

本发明涉及网络空间安全技术领域，尤其是指一种智能网联汽车安全评估方法、装置及存储介质。本发明所述的智能网联汽车安全评估方法，首先分析系统面临的安全威胁，根据节点关系构建层次化的攻击树模型；然后根据威胁行为特点赋予叶节点相应的属性并进行量化，从而计算根节点的风险概率。运用多属性理论和模糊层次分析法评价网络面临已知安全威胁时的风险等级，对系统脆弱性及可能产生的后果进行预测和定量分析，以便根据评估结果提出有效的防护措施，从而降低网络安全风险，提升了效率和精度。

Description

一种智能网联汽车安全评估方法、装置及存储介质

技术领域

本发明涉及网络空间安全技术领域，尤其是指一种智能网联汽车安全评估方法、装置、设备及计算机存储介质。

背景技术

如图1，智能网联汽车的架构包括电子控制单元（ECU）、信息和通信技术（ICT）元素，以及车对车（V2V）和车对基础设施（V2I）通信技术，同时还包括无线网络通信技术，如蓝牙和 Wi-Fi。随着电子部件的使用量增加，汽车内部的ICT元素也变得越来越复杂。电子控制单元（ECU）和控制区域网络（CAN）总线的安全性是车内安全的最重要组成部分。一辆高级汽车可能由70多个ECU组成，这些ECU又与外部网络相连，同时这些ECU通过网络数据总线相互连接。该网络由核心总线、CAN和子网络组成。而这些电子系统可能存在漏洞，使得黑客可以通过网络入侵汽车的控制系统，造成网络安全问题。

智能网联汽车的发展使得传统封闭的单车机械控制扩展为大规模车辆网络远程控制、自动/辅助驾驶、软件远程升级、海量数据收集与利用，具有智能性和网联性的特点。与此同时，智能汽车在实现信息化的同时也带来了安全风险，对智能网联汽车安全状况的评估是保证其安全运行的基础。

为了方便用户的使用，智能汽车采用WiFi、蓝牙和蜂窝网络等通信方式，加强与用户的交互，并且增加了中控和T-Box等计算单元。对于攻击来说，攻击面进一步扩大，可以通过近场无线或远程的方式进行攻击。“用户-云-汽车”典型技术架构如图2所示。

在“用户-云-汽车”典型技术架构中，智能网联汽车用户利用手机应用程序，通过蓝牙和 Wi-Fi 等近场通信协议与车载通信模块（T-Box）和中控主机进行数据交互，实现智慧投屏等功能。或者通过蜂窝网络与云侧通信，以此突破地理的限制。云侧则与车载 T-Box进行数据交互，采用机器对机器（Machine to Machine，M2M）技术通信模式，维持双工通信隧道，以此增加时效性。在空间上，依照智能网联汽车技术架构可以分为用户侧、云侧和车侧安全。

用户侧安全。智能网联汽车的出现给用户带来了更加智能化和便捷的交互方式，但是同时也带来了用户侧安全的风险。手机应用是用户与智能网联汽车进行交互的主要方式，但是应用程序可能存在安全漏洞，例如个人隐私泄露、二次打包和登录验证缺陷等漏洞，这些漏洞可能会导致用户的个人隐私泄露或被攻击者利用进行恶意攻击。

云侧安全。云技术在智能网联汽车中的应用，极大地增强了车辆的适用范围和功能，例如远程控制、数据存储和车辆位置追踪等。但同时，云平台也面临着各种安全问题，如传统的Web安全问题，SQL注入、XSS漏洞和逻辑漏洞等，这些问题会增加攻击者的攻击成本，并拓展攻击的范围。攻击者可以通过云侧问题攻击车辆，从而导致更加严重的安全威胁。

车侧安全。智能网联汽车包含多种终端，如T-Box、中控主机和行车记录仪等，这些终端支持多种通信方式，如蜂窝网络、WLAN、蓝牙等，为智能网联汽车提供了丰富的交互和数据交换功能，然而，这些终端也存在着各种安全风险，如命令执行和缓冲区溢出等漏洞，这些漏洞可能会被黑客利用进行攻击和入侵，从而对车辆和用户的安全构成威胁。

汽车的智能化发展让其成为一个复杂系统的集合，其内部各种电控单元通过CAN总线或以太网等技术相互连接，形成了车载内部网络。攻击者的主要攻击向量是通过车联网终端，再进一步渗透到车辆内部网络，从而形成完整的攻击链。

现阶段对于智能网联汽车的安全评估方法仍是传统方法，但是传统的信息安全量化评估过程需要对整个系统做全面的安全评估，效率比较低。当前智能网联汽车面临着系统状态的不断更新和不断增加的安全评估认证之间的矛盾，传统的信息安全量化评估过程效率低的问题有待解决。

随着智能网联汽车功能逐渐向云转移，与云服务的结合也带来了新的安全问题。目前存在着攻击者可能通过攻击链远程遥控汽车的问题。以往的研究主要集中在独立分析云平台和车载设备的安全问题，忽略了车侧和云端的相互影响。

发明内容

为此，本发明所要解决的技术问题在于克服现有技术中效率低和不够精确的问题。

为解决上述技术问题，本发明提供了一种智能网联汽车安全评估方法，包括：

构建对智能网联汽车所面临的攻击链进行形式化表达的数学模型，得到攻击链模型；

基于所述攻击链模型，分析评估目标面临的安全威胁，根据节点关系构建层次化的攻击树模型；

根据威胁行为特点赋予所述攻击树模型中叶节点相应的属性，并进行量化，计算根节点的风险概率；

根据所述根节点的风险概率和攻击威胁发生后对评估目标造成损失的严重程度，计算评估目标的安全风险值；

将所述安全风险值映射到安全风险等级表得到评估目标面临的安全风险等级。

优选地，所述构建对智能网联汽车所面临的攻击链进行形式化表达的数学模型，得到攻击链模型包括：

基于攻击目标、攻击手段、攻击效果和攻击手段与攻击效果的映射建立攻击链的数学模型，得到所述攻击链模型。

优选地，所述基于所述攻击链模型，分析智能网联汽车面临的安全威胁，根据节点关系构建层次化的攻击树模型包括：

基于所述攻击链模型识别评估目标所面临的根威胁，作为攻击树模型的第一层；

根据所述根威胁识别评估目标所面临的的攻击威胁，作为攻击树模型的第二层；

根据所述攻击威胁识别实现攻击威胁的具体攻击方式，标记为基本安全事件，作为攻击树模型的第三层。

优选地，所述根据威胁行为特点赋予所述攻击树模型中叶节点相应的属性，并进行量化，计算根节点的风险概率包括：

对所述基本安全事件进行指标的量化，并计算基本安全事件的安全威胁攻击代价；

根据所述基本安全事件的安全威胁攻击代价计算基本安全事件的发生概率；

根据所述基本安全事件的发生概率计算攻击威胁的发生概率，得到所述根节点的风险概率。

优选地，所述基本安全事件的安全威胁攻击代价，通过信息技术安全性评估方法GEM中对通用产品的攻击潜力计算方法计算得到。

优选地，所述攻击威胁发生后对评估目标造成损失的严重程度，通过德尔菲法进行评估和赋值。

优选地，所述安全风险等级包括高、较高、中等、较低和低。

本发明还提供了一种智能网联汽车安全评估装置，包括：

攻击链模型构建模块，用于构建对智能网联汽车所面临的攻击链进行形式化表达的数学模型，得到攻击链模型；

攻击树模型构建模块，用于基于所述攻击链模型，分析评估目标面临的安全威胁，根据节点关系构建层次化的攻击树模型；

风险概率计算模块，用于根据威胁行为特点赋予所述攻击树模型中叶节点相应的属性，并进行量化，计算根节点的风险概率；

安全风险值计算模块，用于根据所述根节点的风险概率和攻击威胁发生后对评估目标造成损失的严重程度，计算评估目标的安全风险值；

安全风险评估模块，用于将所述安全风险值映射到安全风险等级表得到评估目标面临的安全风险等级。

本发明还提供了一种智能网联汽车安全评估设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述一种智能网联汽车安全评估方法步骤。

本发明还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述一种智能网联汽车安全评估方法的步骤。

本发明的上述技术方案相比现有技术具有以下优点：

本发明所述的智能网联汽车安全评估方法，首先分析系统面临的安全威胁，根据节点关系构建层次化的攻击树模型；然后根据威胁行为特点赋予叶节点相应的属性并进行量化，从而计算根节点的风险概率。运用多属性理论和模糊层次分析法评价网络面临已知安全威胁时的风险等级，对系统脆弱性及可能产生的后果进行预测和定量分析，以便根据评估结果提出有效的防护措施，从而降低网络安全风险，提升了效率和精度。

附图说明

为了使本发明的内容更容易被清楚的理解，下面根据本发明的具体实施例并结合附图，对本发明作进一步详细的说明，其中：

图1是智能网联汽车框架图；

图2是基于“用户-云-汽车”的技术架构图；

图3是本发明所提供的一种智能网联汽车安全评估方法的实现流程图；

图4为于攻击链的智能网联汽车安全评估框架图；

图5是威胁树分析示意图；

图6是基于消息队列的攻击向量示意图；

图7是智能网联汽车安全威胁树分析示意图。

具体实施方式

本发明的核心是提供一种智能网联汽车安全评估方法、装置、设备及计算机存储介质，提升了效率和精度。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参考图 3，图3为本发明所提供的一种智能网联汽车安全评估方法的实现流程图；具体操作步骤如下：

S101:构建对智能网联汽车所面临的攻击链进行形式化表达的数学模型，得到攻击链模型；

S102:基于所述攻击链模型，分析评估目标面临的安全威胁，根据节点关系构建层次化的攻击树模型；

S103:根据威胁行为特点赋予所述攻击树模型中叶节点相应的属性，并进行量化，计算根节点的风险概率；

S104:根据所述根节点的风险概率和攻击威胁发生后对评估目标造成损失的严重程度，计算评估目标的安全风险值；

S105:将所述安全风险值映射到安全风险等级表得到评估目标面临的安全风险等级。

本发明构建了对攻击链进行形式化表达的数学模型。对各个场景的攻击链进行形式化表述，为攻击树的分析建模奠定基础。通过引入攻击树模型，对攻击链进行安全威胁分析，以此实现智能网联汽车安全威胁的量化计算。基于攻击链的智能网联汽车安全评估框架如图4所示。

基于以上实施例，本实施例对步骤S101进行详细说明：

基于攻击目标、攻击手段、攻击效果和攻击手段与攻击效果的映射建立攻击链的数学模型，得到所述攻击链模型，具体如下：

基于上述的场景分析，我们基于攻击者的攻击目标、攻击手段和攻击效果三个维度进行建模，将智能网联汽车面临的攻击链AC用以下数学模型进行表示。

其中，T表示攻击目标的集合，M表示攻击手段的集合，E代表攻击效果的集合，R代表攻击手段与攻击效果映射的集合。

攻击目标集合包括智能网联汽车系统中的各种组件、设备和服务。例如，车载终端、车载网关、云平台等。

攻击流程集合包括组成攻击链的攻击流程，例如逆向分析、远程接入、漏洞利用等。

攻击效果集合包括攻击者可以造成的各种影响，例如窃取敏感信息、篡改车辆控制、拒绝服务等。

攻击序列集合包括攻击者攻击的目标、攻击流程和效果的序列集合，R集合中的每一个元素代表一个攻击的目标、攻击流程和攻击效果组合，R集合中的顺序代表攻击者发起攻击的先后顺序。

基于攻击树模型的安全风险评估主要分为 3个阶段：第一阶段分析系统面临的安全威胁，根据节点关系构建层次化的攻击树模型；第二阶段计算风险，根据威胁行为特点赋予叶节点相应的属性并进行量化，从而计算根节点的风险概率，然后分析攻击威胁发生后对资产造成损失的严重程度，最后计算出资产的安全风险值，将其映射到安全风险等级表得到系统面临的风险等级。

基于以上实施例，本实施例对步骤S102进行详细说明：

基于所述攻击链模型识别评估目标所面临的根威胁，作为攻击树模型的第一层，具体如下：

威胁树分析技术从攻击链模型的攻击目标面临所有威胁的通用抽象的描述开始，首先识别出评估对象所面临的根威胁（RT）。

根据所述根威胁识别评估目标所面临的的攻击威胁，作为攻击树模型的第二层，具体如下：

得到评估对象所面临的根威胁后，对根威胁RT执行第二层的威胁树分析以识别出其所面临的的攻击威胁，将其标记为（i = 1, 2 , … , m ; j = 1 , 2 , … , n）。

根据所述攻击威胁识别实现攻击威胁的具体攻击方式，标记为基本安全事件，作为攻击树模型的第三层，具体如下：

对攻击威胁进行第三层的分析，识别出实现/>的具体攻击方式，将其标记为基本的安全事件/>（i = 1, 2 , … , m ; j = 1 , 2 , … , n ; k = 1 , 2 , … ,s）。在威胁树分析部分，基本的安全事件被定义为独立事件，即子节点之间均为逻辑OR的关系。使用威胁树对评估目标进行攻击威胁分析的过程如图5所示。

基于以上实施例，本实施例对步骤S103进行详细说明：

评估目标安全威胁风险值的计算依赖于威胁树的分析，因此通过威胁树分析出评估目标所面临的攻击威胁以及具体的安全事件之后，我们首先需要将基本的安全事件进行指标的量化以得到其发生的概率，由于威胁树子节点之间均为逻辑OR的关系，因此可以得到攻击威胁/>的发生概率，再结合威胁/>发生后对评估目标造成损失的严重程度，计算出评估目标的安全威胁风险值。

对所述基本安全事件进行指标的量化，并计算基本安全事件的安全威胁攻击代价，具体如下：

在计算基本安全事件发生概率的时候，使用信息技术安全性评估方法GEM中对通用产品的攻击潜力计算方法，计算出基本安全事件的安全威胁攻击代价，由于攻击概率与攻击代价之间成反比关系，因此可以得到基本安全事件的发生的概率。我们从基本安全事件的攻击时间、设备、专业技能水平、数据及访问四个方面对基本安全事件进行攻击代价衡量。首先，将基本安全事件/>的威胁攻击代价AC定义为一个四元组，。其中，/>代表发起攻击所花费的时间，/>代表实现攻击所需要的装备水平，/>代表实现攻击所需要的专业技术能力，/>代表实现攻击所需要的数据和访问。对于不同指标的评分依据如表1所示：

使用确权算法计算出以上指标的权重,随后基本安全事件的攻击损失AC可以通过如下的公式计算出来。

根据所述基本安全事件的安全威胁攻击代价计算基本安全事件的发生概率：

基本安全事件发生的概率与攻击成本成反比，在得到基本安全事件的攻击成本AC后可以得到基本安全事件发生的概率：/>

其中表示成本/>理论上的最大值，成本越低，叶子节点表示的事件越有可能发生。

根据所述基本安全事件的发生概率计算攻击威胁的发生概率，得到所述根节点的风险概率：

根据基本事件的发生概率，计算攻击威胁的发生概率，由于基本事件之间为逻辑OR的关系，因此攻击威胁的发生概率：

基于以上实施例，本实施例对步骤S104进行详细说明：

分析攻击威胁发生后对资产造成损失的严重程度/>，我们使用德尔菲法来对其进行评估和赋值，随着攻击威胁造成损失严重程度的不同，为其赋予值为1-5的分数。然后，针对每一个评估目标，我们根据攻击威胁/>发生的频率和其导致资产损失的严重程度，来计算出评估目标的安全威胁风险值。

将上述安全风险值映射到对应的等级表中可得到相应的网络安全风险等级。

表2 风险值与安全风险等级映射关系

安全风险值	[1,0.8)	[0.8,0.6)	[0.6,0.4)	[0.4,0.2)	[0.2,0]
						安全风险等级	高	较高	中等	较低	低

如图5所示，在这个应用场景中，存在一种结合云端服务和汽车的攻击向量，车与消息队列服务进行通信，攻击者通过逆向工程等方法获取凭证，利用云侧存在的安全缺陷，就可以远程接入消息队列服务，具备了对车发送消息的能力。通过利用汽车存在消息解析漏洞，攻击者就可以通过云这个“跳板”攻击车载终端，利用漏洞获取车载终端控制权，进而发送 CAN 信号来控制汽车。该攻击向量涉及云侧和车侧的安全问题，攻击者可能发送一条恶意消息，即可远程控制汽车。该攻击向量按照攻击流程可分为 5个攻击步骤 : 逆向分析（S1）、接入服务（S2）、越权发布消息（S3）、漏洞利用（S4）和 CAN 控制（S5）。

对上述实验场景中存在的攻击链用形式化模型进行表示，攻击目标集合/>，攻击流程集合/>，攻击效果集合，攻击序列集合

。上述公式中元素的含义如下表3所示。

表3 形式化公式中每个元素符号的含义

基于形式化表示后的攻击链数学模型，构建如图6所示的威胁攻击树。图5中各节点符号的具体含义如表5所示。对生成的攻击树模型按照风险评估算法进行评估。

表4 攻击树各节点的符号意义

对每个阶段的安全事件造成的损失进行1到5打分，分数越高表示损失越大，各个阶段的风险值为安全事件发生的概率与损失的乘积。所有阶段风险值之和即为攻击树的风险值。结果如表5所示。

最后对总分M做归一化

其中和/>分别为安全事件发生概率的理论最大值和各阶段损失之和的理论最大值，这使得/>理论上的取值范围为[0,1]。根据表2，理论上成本的最大值为5，最小值为1，因此概率的范围为[0, 0.8]；而损失之和的理论最大值为25，由此得出归一化的攻击树风险值为0.528。

将安全风险值映射到对应的等级表中可知，此攻击链对智能汽车网络安全威胁的等级为中等。

本发明中参考的国内国际信息安全评价标准，可以根据实施评估工作的具体目标系统特点进行扩充和更改。

本发明中主客观结合的指标确权算法中，主观确权算法可以根据应用场景需要和限制，灵活的修改为其他常用的主观确权算法，如AHP法、Delphi法等。

本发明中综合评价算法可以根据实际指标的数据类型进行选择。模糊综合评价法适用于定性指标的量化计算，如果数据为定量型数据可更换为如TOPSIS等算法。

本发明实施例还提供了一种智能网联汽车安全评估装置；具体装置可以包括：

本实施例的智能网联汽车安全评估装置用于实现前述的智能网联汽车安全评估方法，因此智能网联汽车安全评估装置中的具体实施方式可见前文智能网联汽车安全评估方法的实施例部分，例如，攻击链模型构建模块，攻击树模型构建模块，风险概率计算模块，安全风险值计算模块，安全风险评估模块，分别用于实现上述智能网联汽车安全评估方法中步骤S101，S102，S103，S104和S105，所以，其具体实施方式可以参照相应的各个部分实施例的描述，在此不再赘述。

本发明具体实施例还提供了一种智能网联汽车安全评估设备，包括：存储器，用于存储计算机程序；处理器，用于执行所述计算机程序时实现上述一种智能网联汽车安全评估方法的步骤。

本发明具体实施例还提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述一种智能网联汽车安全评估方法的步骤。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

显然，上述实施例仅仅是为清楚地说明所作的举例，并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引伸出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims

1.一种智能网联汽车安全评估方法，其特征在于，包括：

将所述安全风险值映射到安全风险等级表得到评估目标面临的安全风险等级；

其中，所述基于所述攻击链模型，分析智能网联汽车面临的安全威胁，根据节点关系构建层次化的攻击树模型包括：

2. 根据权利要求 1 所述的智能网联汽车安全评估方法，其特征在于，所述构建对智能网联

汽车所面临的攻击链进行形式化表达的数学模型，得到攻击链模型包括：

3. 根据权利要求 1 所述的智能网联汽车安全评估方法，其特征在于，所述根据威胁行为特

点赋予所述攻击树模型中叶节点相应的属性，并进行量化，计算根节点的风险概率包括：

4. 根据权利要求 3 所述的智能网联汽车安全评估方法，其特征在于，所述基本安全事件的

安全威胁攻击代价，通过信息技术安全性评估方法 GEM 中对通用产品的攻击潜力计算方法计算得到。

5. 根据权利要求 1 所述的智能网联汽车安全评估方法，其特征在于，所述攻击威胁发生后对评估目标造成损失的严重程度，通过德尔菲法进行评估和赋值。

6. 根据权利要求 1 所述的智能网联汽车安全评估方法，其特征在于，所述安全风险等级包括高、较高、中等、较低和低。

7.一种智能网联汽车安全评估装置，其特征在于，包括：

安全风险评估模块，用于将所述安全风险值映射到安全风险等级表得到评估目标面临的安全风险等级；

8.一种智能网联汽车安全评估设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求 1 至 6 任一项所述一种智能网联汽车安全评估方法的步骤。

9. 一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求 1 至 6 任一项所述一种智能网联汽车安全评估方法的步骤。