DE102018113688A1

DE102018113688A1 - Verfahren für eine Gefährdungsanalyse und Risikobeurteilung

Info

Publication number: DE102018113688A1
Application number: DE102018113688.9A
Authority: DE
Inventors: David Tromba
Original assignee: AVL Software and Functions GmbH
Current assignee: AVL Software and Functions GmbH
Priority date: 2018-06-08
Filing date: 2018-06-08
Publication date: 2019-12-12

Abstract

Verfahren für eine Gefährdungsanalyse und einer Risikobeurteilung eines Fahrzeugs, umfassend die Verfahrensschritte:a) Bestimmung von Angriffszielen basierend auf einem Anwendungsbereich des Fahrzeugs;b) Bestimmung eines Angriffsbaumes mit mindestens einem Angriffsbaumzweig für jedes mögliche Angriffsziel;c) Bestimmung eines Auswirkungslevels basierend auf einem Angriffsziel des Fahrzeugs für jedes mögliche Angriffsziel, und Bestimmung, welche Einrichtungen des Fahrzeugs durch Angriffe auf das Fahrzeug betroffen sind, und Bestimmung eines Bedrohungslevels basierend auf den Angriffen;d) Bestimmung eines kombinierten Bedrohungslevels basierend auf einer Kombination von verschiedenen Angriffsbaumzweigen eines Angriffsziels.

Description

Die Erfindung betrifft ein Verfahren für eine Gefährdungsanalyse und Risikobeurteilung eines Fahrzeugs.
Aus dem Stand der Technik sind bisher derartige Verfahren bekannt, welche sich insbesondere auf einen bestimmten Weg eines gezielten Angriffes beschränken, so dass hierdurch zwar die wichtigsten Funktionen des Fahrzeugs geschützt werden können im Hinblick auf die Betriebssicherheit des Fahrzeuges. Jedoch werden nicht relevante Angriffe in Bezug auf die Sicherheit ignoriert, zum Beispiel Angriffe, welche gegen persönliche Daten gerichtet sind.
Ebenso werden lediglich direkte Angriffe auf das Fahrzeug durch die Sicherheitssoftware abgedeckt, wobei Ablenkungsangriffe und Angriffe auf mehrere Systeme gleichzeitig zum Erreichen eines speziellen Ziels nicht durch die bisher bekannte Software möglich ist.
Es ist daher die Aufgabe der vorliegenden Anmeldung, ein Verfahren bereitzustellen, mittels welchem die Nachteile des Standes der Technik behoben werden können.
Diese Aufgabe wird gelöst durch ein Verfahren für eine Gefährdungsanalyse und einer Risikobeurteilung eines Fahrzeugs, umfassend die Verfahrensschritte:

a) Bestimmung von Angriffszielen basierend auf einem Anwendungsbereich des Fahrzeugs;
b) Bestimmung eines Angriffsbaumes mit mindestens einem Angriffsbaumzweig für jedes mögliche Angriffsziel;
c) Bestimmung eines Auswirkungslevels basierend auf einem Angriffsziel des Fahrzeugs für jedes mögliche Angriffsziel, und Bestimmung, welche Einrichtungen des Fahrzeugs durch Angriffe auf das Fahrzeug betroffen sind, und Bestimmung eines Bedrohungslevels basierend auf den Angriffen;
d) Bestimmung eines kombinierten Bedrohungslevels basierend auf einer Kombination von verschiedenen Angriffsbaumzweigen eines Angriffsziels.

Dabei versteht man unter einem Angriffsziel („attack goal“) ein allgemein zu erreichendes Ziel, welches auf verschiedenen Wegen erreicht werden kann. Beispiele hierfür sind etwa Unterbinden einer Kommunikation mit dem OEM, Lauschangriffe auf den Fahrzeugzustand, Senden von manipulierten Daten an den OEM, und dergleichen. Diese Aufzählung ist hier nur beispielhaft und nicht abschließend.
Unter dem Begriff Anwendungsbereich („use case“) oder auch Anwendungsfall versteht man im Allgemeinen das Folgende: Use Cases dokumentieren die Funktionalität eines geplanten oder existierenden Systems auf Basis von einfachen Modellen. In einem Use Case wird das nach außen sichtbare Verhalten eines Systems aus Sicht der Nutzer beschrieben. Ein Nutzer kann hierbei eine Person, eine Rolle oder ein anderes System sein. Dieser Nutzer tritt als Akteur mit dem System in Interaktion, um ein bestimmtes Ziel zu erreichen. Ein einzelner Use Case wird normalerweise so benannt, wie das Ziel aus Sicht des Akteurs heißt und ist dabei eine Folge von Aktionen, die in einer festgelegten Reihenfolge ablaufen. Da die Erstellung von Use Cases relativ leicht ist und das gemeinsame Verständnis der Interaktion zwischen Akteur und System deutlich erhöht wird, sind Use Cases sehr beliebt und werden häufig in der Produktentwicklung und Softwareentwicklung genutzt.
Ein Beispiel hierzu ist dabei das Auslesen eines Fahrzeugzustands durch den Nutzer.
Unter einem Angriffsbaum versteht man dabei die Gesamtheit aller Angriffsziele zusammen mit den jeweiligen Zweigen/Angriffsbaumzweigen zum Erreichen des jeweiligen Angriffsziels.
Es sei dabei angemerkt, dass der Angriffsbaum dabei abhängig ist von dem Datenflussdiagramm und/oder dem Funktionsdiagramm, welches zu dem Fahrzeug zugehörig ist. Dabei wird abgebildet, welche Kommunikation bzw. Art von Kommunikation möglich ist, beispielsweise „read“, „write“, „status request“ und dergleichen.
Unter dem Auswirkungslevel („impact level“) ist zu verstehen, welche Auswirkung das jeweilige Angriffsziel hat, insbesondere in Bezug auf Sicherheit, Finanzen, Betriebsbereitschaft und Privatsphäre. Aus den jeweiligen Werten bzw. Einstufungen in Bezug auf Sicherheit, Finanzen, Betriebsbereitschaft und Privatsphäre ergibt sich ein gesamtes Auswirkungslevel.
Unter dem Bedrohungslevel („threat level“) ist zu verstehen, bei welchem Ziel und bei welcher Bedrohung unter Berücksichtigung weiterer Parameter ein entsprechender Wert des Bedrohungslevels erreicht werden kann. Ein Beispiel hierfür ist der Speicher einer Kontrolleinheit („ECU“), der durch die Bedrohung „tamper“ (Manipulation) bedroht sein könnte. Weitere Parameter könnten dabei das allgemeine Wissen des Angreifers, das spezielle Wissen über das TOE (TCP/IP Offload Engine) sowie dem günstigen Zeitpunkt und dem benötigten Wissen sein. Für einen Angriff auf die ECU ist ein hohes Maß an allgemeinem und speziellen Wissen sowie spezialisierte Ausrüstung notwendig, so dass hier das Bedrohungslevel gering anzusehen ist.
Ein kombiniertes Bedrohungslevel ist dabei dem Bedrohungslevel entsprechend, jedoch basiert das kombinierte Bedrohungslevel auf einer Kombination von verschiedenen Angriffsbaumzweigen eines Angriffsziels.
Gemäß einer besonders bevorzugten Ausführungsform weist der Angriffsbaum n Ebenen mit jeweils m_n Elementen auf, wobei zu jedem Element einer Ebene i mit i<n der n Ebenen k_n Elemente der nächsten untergeordneten Ebene (i+1) zugeordnet sind, wobei das Angriffsziel durch die erste Ebene charakterisiert ist.
Weiter bevorzugt weist das Verfahren den Verfahrensschritt zur Kombination von verschiedenen Angriffsbaumzweigen auf:

d') Auswahl eines ersten Elements der n-ten Ebene, wobei das erste Element der n-ten Ebene einem ersten Element der (n-1)-ten Ebene zugeordnet ist und Auswahl mindestens eines zweiten Elements der n-ten Ebene, wobei das zweite Elemente der n-ten Ebene einem zweiten Element der (n-1)-ten Ebene zugeordnet ist, wobei die ersten und zweiten Elemente einem Element der zweiten Ebene zugeordnet sind.

Die erste Ebene beschreibt, wie erwähnt, das allgemeine Angriffsziel, wobei die zweite Ebene erste Möglichkeiten der Erreichbarkeit des Angriffsziels angeben. Je weiter in der Ebene man sich befindet, umso präziser wird der Ausgangspunkt dargestellt. Die unterste Ebene, also die n-te Ebene, gibt dabei die tatsächliche Durchführung an.
Gemäß einer weiteren bevorzugten Ausführungsform umfasst das Verfahren den weiteren Verfahrensschritt:

e) Bestimmung eines kombinierten Sicherheitslevels basierend auf dem kombinierten Bedrohungslevel, dem Auswirkungslevel und einem Sicherheitslevel, wobei das Sicherheitslevel bestimmt wird für jeden Angriffsbaumzweig.

Unter dem Sicherheitslevel („security level“) ist dabei zu verstehen, welcher Aufwand betrieben werden muss, um das entsprechende Angriffsziel zu verhindern. Das Sicherheitslevel ist dabei abhängig von dem Bedrohungslevel und dem Auswirkungslevel. Ist entweder das Bedrohungslevel oder das Auswirkungslevel gering, so ist auch das Sicherheitslevel gering anzusetzen. Sind sowohl das Bedrohungslevel als auch das Auswirkungslevel erhöht, so muss entsprechend das Sicherheitslevel erhöht angesetzt werden.
Das kombinierte Sicherheitslevel entspricht dabei dem Sicherheitslevel, jedoch bewertet für die kombinierten Angriffsbaumzweige.
Gemäß einer weiteren bevorzugten Ausführungsform werden die bestimmten Angriffsziele, der bestimmte Angriffsbaum sowie die bestimmten Auswirkungslevels und die kombinierten Bedrohungslevels in einer temporären Datei abgespeichert.
Durch ein Abspeichern des jeweiligen ermittelten Elements kann später darauf zurückgegriffen werden.
Gemäß einer weiteren bevorzugten Ausführungsform werden nach Veränderung des Anwendungsbereichs die Angriffsziele, der Angriffsbaum sowie die Auswirkungslevels und die kombinierten Bedrohungslevels neu bestimmt und in der temporären Datei gespeichert.
Dies ist insbesondere vorteilhaft, wenn ein Update des Fahrzeugs durchgeführt wurde und die Anwendungsbereiche neu definiert oder modifiziert werden. Es ist auch denkbar, dass neue Anwendungsbereiche hinzugefügt werden, oder bisherige Anwendungsbereiche entfernt werden.
Gemäß einer weiteren vorteilhaften Ausführungsform können die bestimmten Angriffsziele, der bestimmte Angriffsbaum sowie die bestimmten Auswirkungslevels und die bestimmten kombinierten Bedrohungslevels, welche in der temporären Datei abgespeichert sind, manuell bearbeitbar sind und nach der Bearbeitung in der temporären Datei abgespeichert werden.
Es ist beispielsweise denkbar, dass neue Angriffsziele nachträglich eingeführt werden können, welche zunächst nicht betrachtet wurden, sich jedoch im Laufe der Zeit als notwendig herausgestellt haben oder zunächst als nicht relevant erachtet wurden.
Weiter wird die zugrunde liegende Aufgabe gelöst durch eine Vorrichtung zum Durchführen eines erfindungsgemäßen Verfahrens, umfassend eine Bestimmungseinrichtung zum Bestimmen von Angriffszielen, eines Angriffsbaums sowie eines Auswirkungslevels und eines kombinierten Bedrohungslevels und eines kombinierten Sicherheitslevels, und eine Speichereinheit zum temporären Speichern von Dateien.
Dabei ist es denkbar, dass die Bestimmungseinrichtung zumindest eine Recheneinheit aufweist, welche insbesondere einen Prozessor aufweist. Mittels der Recheneinheit können die notwendigen Rechenoperationen durchgeführt werden.
Weitere vorteilhafte Ausführungsformen ergeben sich aus den Unteransprüchen.
Weitere Ziele, Vorteile und Zweckmäßigkeiten der vorliegenden Erfindung sind der nachfolgenden von der Beschreibung in Verbindung mit der Zeichnung zu entnehmen. Hierbei zeigen:

1 ein Verfahren gemäß einer bevorzugten Ausführungsform;
2 Datenflussdiagramm bzw. Funktionsdiagramm;
3 Beispiel eines Angriffsbaums;
4 Übersicht über das Auswirkungslevel;
5 Übersicht über das Bedrohungslevel;
6 Übersicht über das kombinierte Bedrohungslevel;
7 Vorrichtung zum Durchführen eines Verfahrens gemäß einer bevorzugten Ausführungsform.

In der 1 ist ein Verfahren gemäß einer bevorzugten Ausführungsform dargestellt, wobei das Verfahren in einer top-down Darstellung dargestellt ist.
Ausgehend von einem vorbestimmten Anwendungsbereich S0 („use case“) für ein Fahrzeug ist ebenso ein Funktionsdiagramm bzw. ein Datenflussdiagramm S1 hinterlegt, basierend auf dem Anwendungsbereich S0. Ein derartiges Funktionsdiagramm bzw. Datenflussdiagramm ist beispielhaft in der 2, für den Anwendungsbereich „Auslesen des Fahrzeugzustands“ dargestellt.
Aus dem Anwendungsbereich S0 werden mittels der Bestimmungseinrichtung (hier nicht gezeigt) die für den vorliegenden Anwendungsbereich S0 gehörenden Angriffsziele S2 bestimmt, wobei aus den Angriffszielen S2 ein Auswirkungslevel S6 bestimmt wird. Eine beispielhafte Darstellung von Angriffszielen und den entsprechenden Auswirkungslevels ist in der 3 dargestellt. Insbesondere hängt das Auswirkungslevel S6 ab von einer jeweiligen Einschätzung hinsichtlich der Sicherheit, der Finanzen, der Betriebsfähigkeit und der Privatsphäre.
Weiter wird ausgehend von den Angriffszielen S2 und dem Funktionsdiagramm/Datenflussdiagramm ein Angriffsbaum S3 ermittelt, welcher insbesondere aufzeigt bzw. umfasst, welche Angriffsziele S2 möglich sind und wie diese Angriffsziele S2 erreicht werden können.
Wie diese Angriffsziele S2 erreicht werden können bestimmt insbesondere die möglichen Angriffe bzw. Bedrohungen S4. Die unterste Ebene des Angriffsbaums S3 bilden daher die Angriffe bzw. Bedrohungen S4.
Ausgehend von den möglichen Angriffen bzw. Bedrohungen S4 wird ein Bedrohungslevel S5 für jeden möglichen Angriff bzw. jede mögliche Bedrohung S4 ermittelt. Eine beispielhafte Einteilung der Bedrohungslevel S5 ist in der 4 dargestellt.
Weiter wird ausgehend von dem Angriffsbaum S3 ein kombinierter Angriffsbaum S7 ermittelt, das heißt, dass ebenso Kombinationen einzelner Angriffe möglich sind, um das entsprechende Angriffsziel S2 zu erreichen.
Abhängig von dem kombinierten Angriffsbaum S7 und dem Bedrohungslevel jedes möglichen Angriffes bzw. jeder möglichen Bedrohung S5 wird ein kombiniertes Bedrohungslevel S8 ermittelt, welches die Bedrohungslevel der kombinierten Angriffe bzw. Bedrohungen darstellt.
In der 2 ist, wie obenstehend angemerkt, ein Datenflussdiagramm bzw. Funktionsdiagramm dargestellt, beispielhaft für den Anwendungszweck „Auslesen des Fahrzeugzustands“. Die Abkürzung ECU steht dabei für „Electronic Control Unit“.
Die 3 zeigt einen beispielhaften Angriffsbaum, dargestellt für das Angriffsziel AZ „Abhören des Fahrzeugzustands“.
Wie weiter zu erkennen ist, umfasst die unterste Ebene des Angriffsbaums verschiedene mögliche Angriffe bzw. Bedrohungen, dargestellt mit A1, A2 usw.
Es ist dabei auch denkbar, dass nicht nur durch einen Angriffsbaumzweig, beispielsweise A1, das Angriffsziel erreicht werden kann, sondern auch durch eine Kombination von Angriffen, beispielsweise durch eine Kombination der Angriffe A5 mit A3, A5 mit A4, oder A5 mit A6 und A5 mit A7.
Die 4 offenbart dabei das jeweilige Auswirkungslevel eines Angriffsziels AZ, abhängig von den Parametern Sicherheit, Finanzen, Betriebssicherheit und Privatsphäre.
In der 5 ist das Bedrohungslevel für den jeweiligen Angriff A1, A2, usw. abhängig von den Parametern Bedrohung, Fachwissen, Wissen über TOE, Gelegenheit und Ausrüstung bestimmt.
In der 6 ist dabei das kombinierte Bedrohungslevel angezeigt, jeweils für eine Kombination von Angriffen bzw. Bedrohungen.
Die 7 zeigt eine Vorrichtung 1 zum Durchführen eines Verfahrens gemäß einer Ausführungsform, wobei die Vorrichtung 1 eine Bestimmungseinrichtung 2 mit einer Recheneinheit 3 aufweist. Weiter weist die Vorrichtung 1 bevorzugt eine Speichereinheit 4 auf zum Abspeichern einer temporären Datei 5.
Zur manuellen Bearbeitung der temporären Datei 5 ist es vorteilhaft, wenn die Vorrichtung 1, insbesondere die Bestimmungseinrichtung 2 mit einer Eingabevorrichtung 6 verbunden ist, mittels welcher Daten der temporären Datei 5 verändert werden können oder neue Datensätze in die temporäre Datei 5 geschrieben werden können.
Sämtliche in den Anmeldungsunterlagen offenbarten Merkmale werden als erfindungswesentlich beansprucht, sofern sie einzeln oder in Kombination gegenüber dem Stand der Technik neu sind.
Bezugszeichenliste

1: Vorrichtung
2: Bestimmungseinrichtung
3: Recheneinheit
4: Speichereinheit
5: temporäre Datei
6: Eingabevorrichtung

Claims

Verfahren für eine Gefährdungsanalyse und einer Risikobeurteilung eines Fahrzeugs, umfassend die Verfahrensschritte: a) Bestimmung von Angriffszielen basierend auf einem Anwendungsbereich des Fahrzeugs; b) Bestimmung eines Angriffsbaumes mit mindestens einem Angriffsbaumzweig für jedes mögliche Angriffsziel; c) Bestimmung eines Auswirkungslevels basierend auf einem Angriffsziel des Fahrzeugs für jedes mögliche Angriffsziel, und Bestimmung, welche Einrichtungen des Fahrzeugs durch Angriffe auf das Fahrzeug betroffen sind, und Bestimmung eines Bedrohungslevels basierend auf den Angriffen; d) Bestimmung eines kombinierten Bedrohungslevels basierend auf einer Kombination von verschiedenen Angriffsbaumzweigen eines Angriffsziels.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Angriffsbaum n Ebenen mit jeweils m_n Elementen aufweist, wobei zu jedem Element einer Ebene i mit i<n der n Ebenen k_n Elemente der nächsten untergeordneten Ebene (i+1) zugeordnet sind, wobei das Angriffsziel durch die erste Ebene charakterisiert ist, und gekennzeichnet durch den Verfahrensschritt zur Kombination von verschiedenen Angriffsbaumzweigen: d') Auswahl eines ersten Elements der n-ten Ebene, wobei das erste Element der n-ten Ebene einem ersten Element der (n-1)-ten Ebene zugeordnet ist und Auswahl mindestens eines zweiten Elements der n-ten Ebene, wobei das zweite Elemente der n-ten Ebene einem zweiten Element der (n-1)-ten Ebene zugeordnet ist, wobei die ersten und zweiten Elemente einem Element der zweiten Ebene zugeordnet sind.
Verfahren nach Anspruch 1 oder 2, gekennzeichnet durch den weiteren Verfahrensschritt e) Bestimmung eines kombinierten Sicherheitslevels basierend auf dem kombinierten Bedrohungslevel, dem Auswirkungslevel und einem Sicherheitslevel, wobei das Sicherheitslevel bestimmt wird für jeden Angriffsbaumzweig.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die bestimmten Angriffsziele, der bestimmte Angriffsbaum sowie die bestimmten Auswirkungslevels und die kombinierten Bedrohungslevels in einer temporären Datei gespeichert werden.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass nach einer Veränderung des Anwendungsbereichs die Angriffsziele, der Angriffsbaum sowie die Auswirkungslevels und die kombinierten Bedrohungslevels neu bestimmt werden und in der temporären Datei gespeichert werden.
Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass die bestimmten Angriffsziele, der bestimmte Angriffsbaum sowie die bestimmten Auswirkungslevels und die kombinierten Bedrohungslevels, welche in der temporären Datei abgespeichert sind, manuell bearbeitbar sind und nach der Bearbeitung in der temporären Datei abgespeichert werden.
Vorrichtung zum Durchführen des Verfahrens nach einem der Ansprüche 1-6, umfassend eine Bestimmungseinrichtung zum Bestimmen von Angriffszielen, eines Angriffsbaums sowie eines Auswirkungslevels und eines kombinierten Bedrohungslevels und eines kombinierten Sicherheitslevels, einer Speichereinheit zum temporären Speichern von Dateien.