IT202100032468A1 - Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded - Google Patents
Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded Download PDFInfo
- Publication number
- IT202100032468A1 IT202100032468A1 IT102021000032468A IT202100032468A IT202100032468A1 IT 202100032468 A1 IT202100032468 A1 IT 202100032468A1 IT 102021000032468 A IT102021000032468 A IT 102021000032468A IT 202100032468 A IT202100032468 A IT 202100032468A IT 202100032468 A1 IT202100032468 A1 IT 202100032468A1
- Authority
- IT
- Italy
- Prior art keywords
- penetration
- local
- validation
- testers
- resources
- Prior art date
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
- G06F2221/033—Test or assess software
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
- G06F2221/034—Test or assess a computer or a system
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Monitoring And Testing Of Exchanges (AREA)
- Exchange Systems With Centralized Control (AREA)
- Investigation Of Foundation Soil And Reinforcement Of Foundation Soil By Compacting Or Drainage (AREA)
Description
DESCRIZIONE
del brevetto per invenzione industriale dal titolo:
PIATTAFORMA INFORMATICA PER L?ESECUZIONE SICURA DI TEST DI PENETRAZIONE E PER LA VALIDAZIONE SICURA DELLA SICUREZZA INFORMATICA DI RISORSE INFORMATICHE DI SISTEMI EMBEDDED
Settore Tecnico dell?Invenzione
La presente invenzione ? relativa in generale all?ambito della sicurezza informatica (cybersecurity), in particolare all?esecuzione di test di penetrazione e alla validazione della sicurezza informatica di risorse informatiche di sistemi embedded privi di connettivit? Internet.
La presente invenzione trova applicazione in qualunque ambito applicativo nel quale sia necessario verificare la sussistenza dei requisiti di sicurezza informatica previsti da normative dedicate o da requisiti specifici richiesti al prodotto. In particolare, la presente invenzione consente di eseguire da remoto test di penetrazione e di validazione della sicurezza informatica di risorse informatiche di sistemi embedded che non sarebbero raggiungibili a mezzo, ad esempio, di Internet e di farlo garantendo che l?integrit? dei sistemi embedded testati non sia compromessa dalla remotizzazione dei test di penetrazione e di validazione. Inoltre, la presente invenzione consente il collegamento ai sistemi embedded a pi? soggetti contemporaneamente, garantendo un?equa condivisione delle risorse della piattaforma informatica (non starvation).
Ancor pi? in particolare, la presente invenzione trova vantaggiosa, sebbene non esclusiva, applicazione in ambito autoveicolistico, su qualsiasi autoveicolo stradale sia esso adibito al trasporto di persone, quale un?autovettura, un autobus, un camper, eccetera, che al trasporto di merci, quale un autoveicolo industriale (camion, autotreno, autoarticolato, eccetera) o commerciale leggero o medio-pesante (furgone, furgonato, cabinato, ecc.), che ad altri utilizzi (macchine movimento terra, agricole, ecc.).
La presente invenzione trova inoltre applicazione a sistemi IoT (Internet of Things) aventi al loro interno oggetti embedded dotati di connessioni verso altri dispositivi e/o di connessioni indirette ad Internet (Wi-Fi, Bluetooth, ecc.).
Stato dell?Arte
Come ? noto, la sicurezza informatica identifica un insieme di misure preposte alla protezione di risorse informatiche, quali sistemi, reti e programmi informatici, da diverse tipologie di attacchi informatici, quali furti o danneggiamenti delle componenti hardware e software e dei dati elettronici, nonch? dall'interruzione o dallo sviamento dei servizi forniti dalle stesse risorse informatiche.
Con la sempre maggiore dipendenza dai servizi informatici, Internet, reti fisiche e wireless (ad esempio, Wi-Fi e Bluetooth) per diverse aree di applicazione nonch? la sempre maggiore crescita della produzione e dell?uso di dispositivi smart (quali smartphone, phablets, tablets, smart TV e dispositivi IoT, Internet of Things), la sicurezza informatica ha acquisito una sempre maggiore importanza e tutt?ora rappresenta, data la sua complessit?, una delle maggiori sfide del mondo contemporaneo.
In particolare, una vulnerabilit? informatica ? un punto debole nella progettazione, nell?implementazione, nel funzionamento e/o nel controllo interno di una risorsa informatica e pu? essere utilizzata per attaccare la stessa risorsa informatica; le vulnerabilit? informatiche possono essere ricercate, identificate mediante reverse engineering, tracciate oppure sfruttate impiegando strumenti automatizzati oppure script personalizzati.
Le misure di sicurezza informatica mirano ad identificare e prevenire la presenza delle vulnerabilit? informatiche e, quindi, gli attacchi; in particolare, gli attacchi a risorse informatiche possono essere, ad esempio, attacchi backdoor, attacchi di Denial of Service, DoS, attacchi ad accesso diretto (Direct-access attacks), intercettazioni (eavesdropping), attacchi multi-vettore e polimorfici, phishing, attacchi di aumento di privilegi (Privilege escalation), attacchi di reverse engineering, attacchi di social engineering, spoofing, manomissione (tampering) e malware.
La crescita del numero e delle potenzialit? delle risorse informatiche e la sempre maggiore dipendenza delle aziende da questi strumenti determina un conseguente aumento delle aziende di diversa estrazione in termini di ambito applicativo che possono essere colpite da eventuali attacchi informatici; in altre parole, la sicurezza informatica delle risorse informatiche di un?azienda diventa un requisito fondamentale per la gestione delle risorse informatiche di una qualsivoglia azienda in un qualunque ambito applicativo.
Questa maggiore attenzione alla sicurezza informatica ? particolarmente sentita in ambito veicolistico, dove, negli ultimi anni, si ? diffusa una sempre maggiore computerizzazione ed informatizzazione dei veicoli, ad esempio con l?introduzione di risorse informatiche di bordo (ad esempio, computer di bordo) per il controllo del motore, dei freni, dei sistemi di sicurezza passiva (airbag e pre-tensionatori) della gestione del cruise control, dei sistemi avanzati di assistenza/ausilio alla guida (Advanced Driver Assistance Systems, ADAS) per il miglioramento della sicurezza e del comfort di guida. In aggiunta, i veicoli di nuova generazione sono connessi, ad esempio, a risorse informatiche remote (ad esempio, unit? remote- che forniscono servizi, informazioni,) per mezzo della telefonia cellulare e mediante sistemi di connessione senza fili, quali Wi-Fi e Bluetooth, e possono comunicare con diversi dispositivi, quali i dispositivi mobili degli utenti a bordo (ad esempio, lo smartphone del guidatore) e simili.
Ne deriva che anche la sicurezza dei veicoli da possibili attacchi informatici ha assunto una importanza notevole negli ultimi anni; ad esempio, una memoria USB impiegata come vettore d?attacco per portare a bordo del software malevolo al fine di compromettere anche in modo permanente il corretto funzionamento delle risorse informatiche a bordo del veicolo ed, eventualmente, anche dei dispositivi ad esse connessi. Ad ulteriore titolo d?esempio, attacchi derivanti dall?accesso alla rete di controllo del veicolo comporta che, ad esempio, un hacker possa modificare la traiettoria percorsa dal veicolo e farlo uscire di strada; in altre parole, la sicurezza informatica delle risorse informatiche dei veicoli ? necessaria per evitare incidenti e situazioni di pericolo per il guidatore e i passeggeri del veicolo.
Alla luce delle problematiche sopra citate, le autorit? pubbliche di moltissimi stati nel mondo hanno definito degli standard di sicurezza che le case automobilistiche ed i fornitori di componenti del veicolo devono rispettare al fine di garantire la protezione delle risorse informatiche dei veicoli da attacchi informatici. Esempi di tali standard e regolamenti sono i seguenti:
- WP.29 ? Harmonization of Vehicle Regulations, Regulations on Cyber Security (R155) and SW update (R156) dell?UNECE;
- General Safety Regulation della Commissione Europea
- NHTSA Cybersecurity Guidelines, Vehicle to Vehicle communication ? Requirements e Self Drive Act del Regulation American Market degli Stati Uniti; - Cybersecurity Act dell?Unione Europea;
- ISO/SAE CD 21434 Road vehicles ? Cybersecurity Engineering; e
- ISO 24089 Road Vehicles ? Software Update Engineering .
Attualmente, al fine di testare e validare il grado di sicurezza di una risorsa informatica, si fa affidamento su un cosiddetto test di penetrazione (penetration test), ovvero un processo operativo di analisi e/o valutazione della sicurezza di una risorsa informatica. Nello specifico, il test di penetrazione consiste nel ricercare e sfruttare potenziali o effettive vulnerabilit? di una risorsa informatica e che sono state precedentemente rilevate simulando un attacco esterno, in modo da determinare se le difese delle risorse informatiche sono sufficienti oppure se invece sono presenti altre vulnerabilit? che possono essere sfruttate. Il test di penetrazione consente, al termine della procedura, di elencare le difese che lo stesso ha sconfitto. Il test di penetrazione ha dunque come obiettivo quello di evidenziare le debolezze della risorsa informatica fornendo il maggior numero di informazioni sulle vulnerabilit? che ne hanno permesso l'accesso non autorizzato, una stima chiara sulle capacit? di difesa e del livello di penetrazione raggiunto nei confronti delle vulnerabilit? interne ed esterne alla risorsa informatica e della sicurezza fisica della stessa risorsa informatica.
Nella domanda di brevetto statunitense US 2020/265144 A1 viene ad esempio descritta una piattaforma di test di penetrazione mobile one-touch, in cui un dispositivo di test di penetrazione ? previsto per eseguire operazioni quali determinare una modalit? di funzionamento del dispositivo di test di penetrazione tra una modalit? di funzionamento headless ed una modalit? di funzionamento remota. Nella modalit? di funzionamento headless, le operazioni comprendono determinare uno script di test personalizzato per un'applicazione di destinazione; in risposta alla ricezione di un'istruzione per eseguire un test di penetrazione, eseguire uno script per eseguire il test sull'applicazione; e sulla base dei risultati del test e sulla compilazione di dati indicativi delle vulnerabilit? di sicurezza nell'applicazione. Nella modalit? di funzionamento remota, le operazioni comprendono stabilire una connessione sicura tra il dispositivo e un dispositivo informatico remoto; ricevere dal dispositivo di elaborazione remota istruzioni per eseguire un test di penetrazione a distanza sull'applicazione; e eseguire le istruzioni per determinare le vulnerabilit? di sicurezza dell'applicazione; e fornire al dispositivo informatico remoto una raccolta delle vulnerabilit? di sicurezza.
La domanda di brevetto cinese CN 111901349 A descrive invece un test di penetrazione basato su un bus CAN di bordo di un veicolo e riguarda il campo tecnico della sicurezza delle comunicazioni. In particolare, il test di penetrazione comprende le fasi di ricevere un'istruzione di test di penetrazione per un veicolo da testare durante il test di penetrazione del veicolo e determinare uno schema di test sulla base dell?istruzione di test di penetrazione; eseguire un test di penetrazione sul veicolo da testare tramite apparecchiature di comunicazione CAN in comunicazione con il veicolo da testare secondo lo schema di test per ottenere dati di test del bus CAN; e elaborare i dati di test del bus CAN secondo lo schema di test per ottenere un risultato del test di penetrazione.
La domanda di brevetto statunitense US 2019/268369 A1 descrive invece la selezione tra un attacco reale e una simulazione/valutazione per la convalida di una vulnerabilit? di un nodo di rete durante l'esecuzione di una campagna di test di penetrazione. In alcune forme di realizzazione, vengono utilizzati metodi di convalida sia attivi che passivi durante una singola campagna di test di penetrazione in un singolo sistema in rete. In altre forme di realizzazione, una prima campagna di test di penetrazione utilizza solo la convalida attiva e una seconda campagna di penetrazione utilizza solo la convalida passiva, in cui entrambe le campagne sono eseguite da un singolo sistema di test di penetrazione in un unico sistema in rete. La determinazione nodo per nodo dell'utilizzo della convalida attiva o passiva pu? essere basata sull'entit? prevista e/o sulla probabilit? di danni derivanti dall'effettiva compromissione di un nodo di rete utilizzando la convalida attiva.
La domanda di brevetto statunitense US 2019/068631 A1 descrive infine a scenari predefiniti time-tagged per test di penetrazione per la scoperta e la segnalazione di vulnerabilit? di sicurezza di un sistema networked. Le campagne di test di penetrazione vengono eseguite sulla base di scenari di test di penetrazione predefiniti associati a rispettivi tag temporali Uno scenario di test di penetrazione viene selezionato da un utente da una serie di scenari di test di penetrazione predefiniti contenente solo scenari di test di penetrazione predefiniti con tag temporali che corrispondono a un'ora di inizio pianificata di una campagna di test di penetrazione.
Oggetto e Riassunto dell?Invenzione
La Richiedente ha avuto modo di osservare che la metodologia basata sul test di penetrazione, che consente di testare e valutare la sicurezza di una risorsa informatica, ha delle limitazioni. Di fatto, il test di penetrazione viene eseguito al termine di un ciclo di sviluppo, ovvero quando ? troppo tardi per valutare efficacemente la presenza di vulnerabilit? nella risorsa informatica; questo comporta sia tempi di attesa maggiori (legati all?attesa del termine del ciclo di sviluppo e alla necessit? di risolvere le vulnerabilit? a ciclo di sviluppo completato, che pu? richiedere un lasso di tempo non trascurabile) sia dei costi maggiori (legati al pagamento delle persone e delle risorse che devono operare per la risoluzione delle vulnerabilit?). La qualit? del test di penetrazione ? quindi dipendente dal tempo, dall?esperienza dell?esecutore e dal costo investito nella sua esecuzione. In aggiunta, la metodologia basata sul test di penetrazione presenta ulteriori svantaggi: mancanza della possibilit? di tracciare le operazioni eseguite e, quindi, di poter valutare la qualit? e la profondit? del test di penetrazione; mancanza della possibilit? di poter designare un utente preposto all?esecuzione del test di penetrazione, ovvero un utente trusted; e mancanza della possibilit? di condividere le risorse informatiche da testare tra pi? utenti al fine di ottimizzare il test di penetrazione ed aumentare le possibilit? di individuare delle vulnerabilit?.
In aggiunta, la qualit? e il risultato della ricerca prodotta dal test di penetrazione dipendono anche da chi lo esegue, ovvero un esperto qualificato. Tale requisito risulta per? incompatibile con la crescente domanda di integrazione ed uso di risorse informatiche, in quanto, dovendo adempiere ai sempre pi? stringenti requisiti di sicurezza informatica, ? richiesta una maggiore disponibilit?, in termini numerici e temporali, di esperti qualificati; pertanto, la disponibilit? di esperti qualificati per il test e la validazione di risorse informatiche risulterebbe critica.
Tali problematiche sono ancor pi? evidenti ed importanti nell?ambito autoveicolistico, specie alla luce dell?introduzione delle nuove normative in merito. L?istituzione di norme sempre pi? stringenti per la gestione della sicurezza delle risorse informatiche sui veicoli di nuova generazione comporta una maggiore richiesta di test penetrativi e di validazioni di sicurezza e, quindi, una maggiore richiesta di esperti qualificati che possano garantire la sicurezza delle risorse informatiche del veicolo. In particolare, tali certificazioni saranno richieste principalmente da parte dei costruttori di veicoli e loro principali fornitori OEM (Original Equipment Manufacturer), come anche dai fornitori di componenti (Tier 1). Anche le Certification Authority dovranno dotarsi delle necessarie competenze per poter correttamente svolgere le attivit? di certificazione.
Oltre alle problematiche sopra elencate, in ambito autoveicolistico, una forte limitazione al processo di test e validazione delle risorse informatiche del veicolo e delle componenti ? l?accessibilit? alle stesse risorse informatiche, in quanto un componente o un dispositivo (oppure lo stesso veicolo), per essere testato e validato da un punto di vista informatico, deve essere accessibile fisicamente all?esperto (qui, un tecnico per la sicurezza informatica).
Vi sono, quindi, problemi a livello di tempo, costi e complessit? di esecuzione delle procedure di test e validazione di risorse informatiche tali da rappresentare un notevole impegno per le aziende, in termini sia di costo che di tempo, per poter garantire la diffusione delle tecnologie avanzate, in particolare nel settore autoveicolistico.
La Richiedente ha avuto modo di osservare che gli attuali metodi per l?individuazione di potenziali attacchi e per la verifica delle misure di sicurezza informatica delle risorse informatiche, in particolare in ambito automobilistico, per quanto vantaggiosi, presentano dei margini di miglioramento.
Per questo motivo, ? sentita la necessit? di fornire un sistema che consenta di testare e verificare la sicurezza delle risorse informatiche, al fine di risolvere in modo semplice, veloce e con costi contenuti eventuali vulnerabilit? nella sicurezza della risorsa informatica.
Scopo della presente invenzione ? quindi mettere a disposizione sistema per permettere a tester di penetrazione/validazione di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche di sistemi locali embedded da testare privi di connettivit? Internet che superi gli inconvenienti dell?arte nota.
Secondo la presente invenzione vengono messi a disposizione sistemi per permettere a tester di penetrazione/validazione di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche di sistemi locali embedded da testare privi di connettivit? Internet e relativi moduli software, come rivendicati nelle rivendicazioni allegate.
Breve Descrizione dei Disegni
La Figura 1 mostra schematicamente un sistema per permettere a tester di penetrazione/validazione di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche di sistemi locali embedded da testare privi di connettivit? Internet.
La Figura 2 mostra schematicamente un?unit? elettronica locale di connettivit? ed elaborazione facente parte del sistema di Figura 1.
Descrizione di Preferite Forme di Realizzazione dell?Invenzione
La presente invenzione verr? ora descritta in dettaglio con riferimento alle figure allegate per permettere ad una persona esperta di realizzarla ed utilizzarla. Varie modifiche alle forme di realizzazione descritte saranno immediatamente evidenti alle persone esperte ed i generici principi descritti possono essere applicati ad altre forme di realizzazione ed applicazioni senza per questo uscire dall?ambito protettivo della presente invenzione, come definito nelle rivendicazioni allegate. Pertanto, la presente invenzione non deve essere considerata limitata alle forme di realizzazione descritte ed illustrate, ma gli si deve accordare il pi? ampio ambito protettivo conforme con le caratteristiche descritte e rivendicate.
Ove non definito in altro modo, tutti i termini tecnici e scientifici qui utilizzati hanno lo stesso significato comunemente utilizzato da persone di ordinaria esperienza nel settore di pertinenza della presente invenzione. In caso di conflitto, la presente descrizione, comprese le definizioni fornite, risulter? vincolante. Inoltre, gli esempi sono forniti a puro scopo illustrativo e come tali non devono essere considerati limitanti.
In particolare, gli schemi a blocchi inclusi nelle figure allegate e descritti in seguito non sono da intendersi come rappresentazione delle caratteristiche strutturali, ovvero limitazioni costruttive, ma devono essere interpretati come rappresentazione di caratteristiche funzionali, propriet? cio? intrinseche dei dispositivi e definite dagli effetti ottenuti ovvero limitazioni funzionali e che possono essere implementate in modi diversi, quindi in modo da proteggere le funzionalit? dello stesso (possibilit? di funzionare).
Al fine di facilitare la comprensione delle forme di realizzazione qui descritte, si far? riferimento ad alcune specifiche forme di realizzazione e un linguaggio specifico sar? utilizzato per descrivere le stesse. La terminologia utilizzata nel presente documento ha lo scopo di descrivere solo particolari realizzazioni e non ? destinata a limitare l'ambito della presente invenzione.
Assunto che gli hackers possono utilizzare le vulnerabilit? di un sistema informatico oppure di una rete in qualunque momento all?interno della catena di servizi (service chain), esiste un processo di test e validazione di un test di sicurezza informatica continuo per testare e validare le misure di sicurezza di risorse informatiche. In particolare, l?obiettivo del test di sicurezza informatica continuo ? identificare e risolvere eventuali vulnerabilit? gi? nel processo di sviluppo delle risorse informatiche; pertanto, le misure di sicurezza delle risorse informatiche sono testate e validate anche durante lo sviluppo delle stesse, cos? che vulnerabilit? siano risolte il prima possibile.
In maggior dettaglio, il test di sicurezza informatica continuo consente di identificare un possibile vettore di attacco mediante uno strumento informatico (tool) di verifica e validazione programmato per:
- anticipare eventuali risultati di un successivo test di penetrazione;
- verificare l?implementazione di misure di sicurezza per la comunicazione e l?integrit? dei dati della risorsa informatica in esame in esame; e
- generare resoconti (reports) che possono essere utilizzati per scopi di certificazione della risorsa informatica in esame.
La presente invenzione consente, come meglio descritto nel seguito, ad uno o pi? tester identificati ed autorizzati di accedere da remoto senza interruzioni ed in modo sicuro a banchi di test (bench tests) di componenti/sistemi e a singoli sistemi embedded o a reti di sistemi embedded autoveicolistici. Pertanto, un ingegnere informatico specializzato nella sicurezza informatica ? in grado di testare i componenti oppure i dispositivi del veicolo da remoto a mezzo di un?interfaccia basata su connessione Internet (Internet-based interface), la quale consente di ricostruire la situazione in cui lo stesso ingegnere sia fisicamente sul veicolo (o al banco di test) e stia testando le componenti oppure i dispositivi in loco (remotizzazione). In altre parole, ? possibile aggirare la necessit? di avere accesso fisico alle componenti oppure ai dispositivi e, quindi, di eseguire test e validazioni da remoto.
La Figura 1 mostra un sistema 1 per permettere a tester di penetrazione/validazione 6, 7 di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche 4 di sistemi locali embedded 10 da testare privi di connettivit? Internet.
In particolare, il sistema 1 comprende:
- una o differenti unit? elettroniche locali di connettivit? ed elaborazione 3 progettate, ciascuna, per essere collegabile ad uno o differenti sistemi locali embedded 10 da testare e per fornire connettivit? Internet ai sistemi locali embedded 10 da testare a cui ? collegata; e
- una piattaforma informatica remota 2 progettata per comunicare con le unit? elettroniche locali di connettivit? ed elaborazione 3 e per consentire l?accesso alla piattaforma informatica remota 2 a tester di penetrazione/validazione 6, 7 autorizzati ad accedere ai sistemi locali embedded 10 da testare per permettere ai tester di penetrazione/validazione 6, 7 di eseguire test di penetrazione sulle, e validare la sicurezza informatica delle, risorse informatiche 4 dei sistemi locali embedded 10 da testare. In particolare, nella Figura 1 ? illustrata una piattaforma informatica remota 2 progettata per interfacciarsi, da un lato, con una molteplicit? di tester di penetrazione/validazione 6, 7 e, dall?altro, con una molteplicit? di unit? elettroniche locale di comunicazione ed elaborazione 3, ciascuna delle quali pu? a sua volta essere collegata a uno o a una molteplicit? di sistemi embedded 10 da testare, ciascuno dei quali pu? essere provvisto di una o una molteplicit? di risorse informatiche 4 sulle quali eseguire test di penetrazione e di validazione della sicurezza informatica.
La piattaforma informatica remota 2 e le unit? elettroniche locali di connettivit? ed elaborazione 3 sono progettate per:
- localizzare, ovvero rendere locali, i tester di penetrazione/validazione 6, 7, i quali vengono abilitati ad accedere ai sistemi locali embedded 10 in modo da poter operare sulle risorse informatiche 4 dei sistemi locali embedded 10 come se i tester di penetrazione/validazione 6, 7, fossero fisicamente presenti nei luoghi in cui si trovano i sistemi locali embedded 10; e
- remotizzare i sistemi locali embedded 10 attraverso una virtualizzazione delle loro risorse informatiche 4 in modo da consentire ai tester di penetrazione/validazione 6, 7 di eseguire test di penetrazione e di validazione della sicurezza informatica direttamente sulle risorse informatiche 4 dei sistemi locali embedded 10.
La piattaforma informatica remota 2 e le unit? elettroniche locali di connettivit? ed elaborazione 3 operano pertanto come mediatori fra i tester di penetrazione/validazione 6,7 e i sistemi locali embedded 10 da testare, garantendo quindi la sicurezza, la capacit? di accesso a pi? utenti (multiplexing) e il reporting.
Come mostrato nella Figura 1, i tester di penetrazione/validazione 6, 7 possono essere sia utenti singoli 6, quale cosiddetti white hat hacker, oppure piattaforme di bug bounty 7 a cui utenti singoli 6 possono collegarsi e la piattaforma informatica remota 2 ? progettata per effettuare il tracciamento di tutte le connessioni e di tutte le attivit? relative ai tester di penetrazione/validazione 6, 7 ad essa connessi in modo da poter creare dei report pi? completi sia per un cliente che per un ente certificatore che dovr? valutarne la qualit? e la consistenza.
Si noti che, nel caso di processo di test da remoto con remotizzazione e virtualizzazione dei sistemi locali embedded 10 da testare, gli utenti singoli 6, provvisti di rispettivi terminali per l?accesso, e/o la piattaforma di bug bounty 7 sono in grado di accedere alle risorse informatiche 4 grazie alla virtualizzazione di quest?ultima sui terminali degli utenti singoli 6 e/o sulla piattaforma di bug bounty 7; in particolare, nel caso della piattaforma di bug bounty 7, ciascun utente collegato ? in grado di accedere separatamente ed indipendentemente dagli altri alle risorse informatiche 4 per eseguire test su queste ultime.
Per svolgere la funzione ad essa assegnata, un?unit? elettronica locale di comunicazione ed elaborazione 3 ? progettata per:
- memorizzare ed eseguire uno o differenti strumenti o tool informatici embedded progettati per eseguire rispettivi test automatici di penetrazione sulle, e validare la sicurezza informatica delle, risorse informatiche 4 dei sistemi locali embedded 10 da testare collegati all?unit? elettronica locale di comunicazione ed elaborazione 3; e - comunicare con la piattaforma informatica remota 2 per permettere a tester di penetrazione/validazione 6, 7 autorizzati ad accedere ai sistemi locali embedded 10 da testare collegati all?unit? elettronica locale di comunicazione ed elaborazione 3 di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche 4 dei sistemi locali embedded 10 da testare.
A titolo di esempio on limitativo, gli strumenti informatici embedded potrebbero comprendere un o pi? dei seguenti:
- Tool 1: test degli aggiornamenti over the air delle features di una risorsa informatica; - Tool 2: validazione della gestione di materiale crittografico;
- Tool 3: validazione della gestione di risorse;
- Tool 4: analisi del comportamento dei codici software in una risorsa informatica 4; - Tool 5: validazione dei sistemi di credenziali e autenticazioni; e
- Tool 6: validazione delle interfacce di comunicazione e i protocolli.
Ci? significa che se una delle risorse informatiche 4 implementa, ad esempio, un aggiornamento over the air di una feature, il Tool 1 dell?unit? elettronica locale di comunicazione ed elaborazione 3 eseguir? una serie di test per validare la corretta implementazione della feature a seguito dell?aggiornamento. In modo analogo, anche gli altri strumenti informatici residenti nell?unit? elettronica locale di comunicazione ed elaborazione 3 eseguiranno dei test per verificare ciascuno la rispettiva correttezza, soprattutto in termini di sicurezza, dei codici software della risorsa informatica 4.
La piattaforma informatica remota 2 ? invece progettata per:
- stabilire e gestire connessioni sicure fra le unit? elettroniche locali di connettivit? ed elaborazione 3 e tester di penetrazione/validazione 6, 7 autorizzati ad accedere ai sistemi locali embedded 10 da testare collegati alle unit? elettroniche locali di connettivit? ed elaborazione 3 per permettere ai tester di penetrazione/validazione 6, 7 di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche 4 dei sistemi locali embedded 10 da testare, sia tramite gli strumenti informatici embedded memorizzati nelle unit? elettroniche locali di connettivit? ed elaborazione 3 sia tramite strumenti informatici proprietari dei tester di penetrazione/validazione 6, 7;
- gestire il multiplexing tra i tester di penetrazione/validazione 6, 7 e le unit? elettroniche locali di connettivit? ed elaborazione 3, per occuparsi della sicurezza e della gestione dei conflitti dei timing garantendo un accesso equo a tutti i test di penetrazione/validazione 6, 7 (non starvation); e
A tale scopo, la piattaforma informatica remota 2 ? inoltre progettata per:
- permettere ai tester di penetrazione/validazione 6, 7 di richiedere l?assegnazione di uno o differenti intervalli di tempo (time slot) per l?esecuzione di test di penetrazione su, e la validazione della sicurezza informatica di, risorse informatiche locali 4 di sistemi locali embedded 10 da testare ai quali i tester di penetrazione/validazione 6, 7 sono autorizzati ad avere acceso;
- assegnare ai tester di penetrazione/validazione 6, 7 uno o differenti intervalli di tempo nei quali eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche locali 4 di sistemi locali embedded 10 da testare; e
- stabilire connessioni sicure fra la piattaforma informatica remota 2 e le unit? elettroniche locali di connettivit? ed elaborazione 3 negli intervalli di tempo assegnati ai tester di penetrazione/validazione 6, 7 per permettere ai tester di penetrazione/validazione 6, 7 di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche 4 dei sistemi locali embedded 10 da testare collegati alle unit? elettroniche locali di connettivit? ed elaborazione 3 connesse alla piattaforma informatica remota 2.
Inoltre, la piattaforma informatica remota 2 ? progettata per virtualizzare i sistemi locali embedded al fine di rendere le relative risorse informatiche 4 disponibile ai tester di penetrazione/validazione 6, 7 in modo tale che questi possano eseguire su di esse i test di penetrazione o possano validarne la sicurezza informatica.
La piattaforma informatica remota 2 ? inoltre progettata per consentire l?implementazione di una o pi? delle seguenti funzionalit?:
- monitorare l?attivit? delle unit? elettroniche locali di connettivit? ed elaborazione 3 e della piattaforma informatica remota 2;
- registrare sessioni di test di penetrazione e di validazione della sicurezza informatica; e
- generare resoconti dell?attivit? delle unit? elettroniche locali di connettivit? ed elaborazione 3 e della piattaforma informatica remota 2.
Le unit? elettroniche locali di connettivit? ed elaborazione 3 sono inoltre progettate per:
- ricevere dalla piattaforma informatica remota 2 e memorizzare gli intervalli di tempo nei quali connettersi alla piattaforma informatica remota 2; e
- connettersi autonomamente alla piattaforma informatica remota 2 negli intervalli di tempo memorizzati.
Le unit? elettroniche locali di connettivit? ed elaborazione 3 sono inoltre progettate per consentire l?implementazione di una o pi? delle seguenti funzionalit?: - aggiornare gli strumenti informatici embedded qualora sia riscontrata una nuova tipologia di vulnerabilit? oppure di metodologia di attacco; e
- fornire specifiche, requisiti ed informazioni sulle tipologie di vulnerabilit?. Le unit? elettroniche di comunicazione ed elaborazione 3 sono inoltre progettate per registrare e replicare un?operazione di test e validazione oppure di una sequenza di operazioni di test e validazione al fine di poterle eseguire in modo autonomo sulle risorse informatiche 4 dei sistemi locali embedded 10.
In una preferita forma di realizzazione, i sistemi locali embedded 10 da testare comprendono un sistema di bordo autoveicolistico o una rete di sistemi di bordo autoveicolistici (in-vehicle network) collegati ad una rete di comunicazione di bordo autoveicolistica.
In questa forma di realizzazione, le unit? elettroniche di comunicazione ed elaborazione 3 sono progettate per consentire l?implementazione di una o pi? delle seguenti funzionalit?:
- comunicare con interfacce dei sistemi locali embedded 10, in particolare con interfacce e/o dispositivi di questi (quali, ad esempio, interfacce CAN, Ethernet, Flexray, Wi-Fi, BT, NFC, etc); e
- generare resoconti dell?attivit? delle unit? elettroniche di comunicazione ed elaborazione 3.
Le unit? elettroniche di comunicazione ed elaborazione 3 sono inoltre progettate per fornire interfacce seriali progettate per consentire la comunicazione tra le unit? elettroniche di comunicazione ed elaborazione 3 e le risorse informatiche 4 dei sistemi locali embedded 10 attraverso la piattaforma informatica remota 2. Questo consente di eseguire anche attacchi test pi? profondi, al fine di verificare in maggior dettaglio il livello di sicurezza di una risorsa informatica.
Sebbene l?ambito autoveicolistico rappresenti uno degli ambiti di applicazione del sistema 1 secondo la presente invenzione pi? promettenti, esso non ? chiaramente l?unico ed ulteriori ambiti applicativi potrebbero ad esempio comprendere quello manifatturiero o medicale per testare e validare dispositivi di tipo IoT.
Sulla base di quanto precedentemente descritto sono evidenti i vantaggi che la presente invenzione consente di raggiungere.
In particolare, la presente invenzione pu? essere impiegata come strumento di certificazione per verificare in modo automatico o manuale l?implementazione di misure di sicurezza informatica su risorse informatiche, ad esempio a bordo di un veicolo. In questo caso, ? possibile sfruttare dei moduli per verificare tali requisiti, ad esempio moduli per verificare ISO 21434.
Inoltre, la generazione automatica di report da parte della piattaforma informatica remota 2 consente di certificare le attivit? di verifica della sicurezza di risorse informatiche 4 di sistemi locali embedded 10.
In aggiunta, la presente invenzione consente di stabilire connessioni sicure e condivise tra le unit? elettroniche locali di connettivit? ed elaborazione 3 preposte a uno o pi? utenti singoli 6 o connessi attraverso piattaforme quali piattaforme di bug bounty 7 che sono stati precedentemente individuati ed autorizzati.
Inoltre, la piattaforma informatica remota 2 consente una efficiente gestione della sicurezza e della non-starvation del presente sistema 1 per l?esecuzione di test di penetrazione e per la validazione della sicurezza informatica delle risorse informatiche 4 hardware/software.
In aggiunta, la presente invenzione garantisce la tracciabilit? delle operazioni eseguite dai tester di penetrazione/validazione e quindi la loro replicabilit?.
Inoltre, la presente invenzione consente di implementare sia un test di penetrazione remoto in modo locale, ovvero ?localizzando? i tester nell?ambiente delle risorse informatiche da testare, sia un test di penetrazione in cui viene stabilita un?interfaccia remota virtuale dell?ambiente delle risorse informatiche, ovvero ?remotizzando? le risorse informatiche per l?utente. Ad esempio, la presente invenzione consente di eseguire test di penetrazione che prevedono la remotizzazione di informazioni che circolano, ad esempio, su reti CAN di un autoveicolo e sulle unit? elettroniche locali di connettivit? ed elaborazione relative al medesimo test di penetrazione.
Risulta quindi che il processo di test e verifica dei requisiti di sicurezza richiesti, soprattutto in ambito autoveicolistico, risulta semplificato e meno dispendioso a livello di tempo grazie alla presenza della piattaforma informatica remota, la quale opera da ponte fra una risorsa informatica e il soggetto che esegue la verifica, nonch? eventuali ulteriori piattaforme esterne che possono verificare ulteriormente la bont? delle verifiche di sicurezza effettuate.
La possibilit?, da parte dei tecnici esperti in sicurezza informatica, di poter operare da remoto su una molteplicit? di sistemi, consente di rendere molto pi? efficiente l?utilizzo di tali risorse, riducendo quindi i tempi ed i costi di tali operazioni.
La piattaforma consente anche lo sviluppo da remoto del software di sistemi embedded, permettendo quindi anche una remotizzazione dei tecnici addetti allo sviluppo del software stesso, con relativi benefici in termini di tempi e costi.
Tutto questo mantenendo, grazie alle caratteristiche di sicurezza della piattaforma, lo stesso livello di garanzie (confidenzialit?, integrit?, ecc.) che sono possibili con uno sviluppo e test in loco, cio? all?interno dell?azienda, nei laboratori specifici. Questi conterranno sempre i sistemi in fase di sviluppo e test, ma i tecnici potranno operare da remoto.
Inoltre la remotizzazione permetter? anche di avere laboratori ?mobili? , vale a dire collegare sistemi in fase di sviluppo e test a bordo di veicoli. Questo ? particolarmente importante nella fase finale di sviluppo di sistemi imbarcabili su veicolo, dove risulta necessario testare in condizioni reali di impiego. Anche in questo caso con ovvi benefici in termini di costi e tempi.
Infine, la diffusione dei sistemi di assistenza alla guida e di guida autonoma renderanno necessari moltissimi test che dovranno essere svolti su strada, in localit? differenti e lontane, per cui la possibilit? di sviluppare ed eseguire i test di penetrazione direttamente sui veicoli, sempre in modo sicuro, portano con s? ulteriori evidenti vantaggi in termini di tempi e costi.
Claims (10)
1. Sistema (1) per permettere a tester di penetrazione/validazione (6, 7) di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche (4) di sistemi locali embedded da testare privi di connettivit? Internet;
il sistema (1) comprende:
- una o differenti unit? elettroniche locali di connettivit? ed elaborazione (3) progettate, ciascuna, per essere collegabile ad uno o differenti sistemi locali embedded da testare e per fornire connettivit? Internet ai sistemi locali embedded da testare a cui ? collegata; e - una piattaforma informatica remota (2) progettata per comunicare con le unit? elettroniche locali di connettivit? ed elaborazione (3) e per consentire l?accesso alla piattaforma informatica remota (2) a tester di penetrazione/validazione (6, 7) autorizzati ad accedere ai sistemi locali embedded da testare per permettere ai tester di penetrazione/validazione (6, 7) di eseguire test di penetrazione sulle, e validare la sicurezza informatica delle, risorse informatiche (4) dei sistemi locali embedded da testare;
un?unit? elettronica locale di comunicazione ed elaborazione (3) ? progettata per: - memorizzare ed eseguire uno o differenti strumenti informatici embedded progettati per eseguire rispettivi test automatici di penetrazione sulle, e validare la sicurezza informatica delle, risorse informatiche (4) dei sistemi locali embedded da testare collegati all?unit? elettronica locale di comunicazione ed elaborazione (3); e - comunicare con la piattaforma informatica remota (2) per permettere a tester di penetrazione/validazione (6, 7) autorizzati ad accedere ai sistemi locali embedded da testare collegati all?unit? elettronica locale di comunicazione ed elaborazione (3) di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche (4) dei sistemi locali embedded da testare;
la piattaforma informatica remota (2) ? inoltre progettata per:
- stabilire e gestire connessioni sicure fra le unit? elettroniche locali di connettivit? ed elaborazione (3) e tester di penetrazione/validazione (6, 7) autorizzati ad accedere ai sistemi locali embedded da testare collegati alle unit? elettroniche locali di connettivit? ed elaborazione (3) per permettere ai tester di penetrazione/validazione (6, 7) di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche (4) dei sistemi locali embedded da testare, sia tramite gli strumenti informatici embedded memorizzati nelle unit? elettroniche locali di connettivit? ed elaborazione (3) sia tramite strumenti informatici proprietari dei tester di penetrazione (6, 7).
2. Sistema (1) secondo la rivendicazione 1, in cui la piattaforma informatica remota (2) ? inoltre progettata per:
- permettere ai tester di penetrazione/validazione (6, 7) di richiedere l?assegnazione di intervalli di tempo per l?esecuzione di test di penetrazione su, e la validazione della sicurezza informatica di, risorse informatiche locali (4) di sistemi locali embedded da testare ai quali i tester di penetrazione/validazione (6, 7) sono autorizzati ad avere acceso;
- assegnare ai tester di penetrazione/validazione (6, 7) uno o differenti intervalli di tempo nei quali eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche locali (4) di sistemi locali embedded (10) da testare; e
- stabilire connessioni sicure fra la piattaforma informatica remota (2) e le unit? elettroniche locali di connettivit? ed elaborazione (3) negli intervalli di tempo assegnati ai tester di penetrazione/validazione (6, 7) per permettere ai tester di penetrazione/validazione (6, 7) di eseguire test di penetrazione sulle, e validare da remoto la sicurezza informatica delle, risorse informatiche (4) dei sistemi locali embedded da testare collegati alle unit? elettroniche locali di connettivit? ed elaborazione (3) connesse alla piattaforma informatica remota (2).
3. Sistema (1) secondo la rivendicazione 2, in cui le unit? elettroniche locali di connettivit? ed elaborazione (3) sono inoltre progettate per:
- ricevere dalla piattaforma informatica remota (2) e memorizzare gli intervalli di tempo nei quali connettersi alla piattaforma informatica remota (2); e
- connettersi autonomamente alla piattaforma informatica remota (2) negli intervalli di tempo memorizzati.
4. Sistema (1) secondo una qualsiasi delle rivendicazioni precedenti, in cui la piattaforma informatica remota (2) ? progettata per gestire il multiplexing tra i tester di penetrazione/validazione (6, 7) e le unit? elettroniche locali di connettivit? ed elaborazione (3), per occuparsi della sicurezza e della gestione dei conflitti dei timing garantendo un accesso equo a tutti i test di penetrazione/validazione (6, 7).
5. Sistema (1) secondo una qualsiasi delle rivendicazioni precedenti, in cui la piattaforma informatica remota (2) ? inoltre progettata per virtualizzare i sistemi locali embedded da testare al fine di rendere disponibili ai tester di penetrazione/validazione (6, 7) le relative risorse informatiche (4) su cui eseguire i test di penetrazione o di validazione della sicurezza informatica.
6. Sistema (1) secondo una qualsiasi delle rivendicazioni precedenti, in cui la piattaforma informatica remota (2) ? inoltre progettata per consentire l?implementazione di una o pi? delle seguenti funzionalit?:
- monitorare l?attivit? delle unit? elettroniche locali di connettivit? ed elaborazione (3) e della piattaforma informatica remota (2);
- registrare sessioni di test di penetrazione e di validazione della sicurezza informatica; e
- generare resoconti dell?attivit? delle unit? elettroniche locali di connettivit? ed elaborazione (3) e della piattaforma informatica remota (2).
7. Sistema (1) per l?esecuzione di test di penetrazione e per la validazione della sicurezza informatica secondo una qualsiasi delle rivendicazioni precedenti, in cui i tester di penetrazione/validazione (6, 7) sono utenti singoli (6) oppure piattaforme di bug bounty (7) a cui sono collegati utenti singoli (6).
8. Sistema (1) secondo una qualsiasi delle rivendicazioni precedenti, in cui le unit? elettroniche locali di connettivit? ed elaborazione (3) sono inoltre progettate per consentire l?implementazione di una o pi? delle seguenti funzionalit?:
- aggiornare gli strumenti informatici embedded qualora sia riscontrata una nuova tipologia di vulnerabilit? oppure di metodologia di attacco; e
- fornire specifiche, requisiti ed informazioni sulle tipologie di vulnerabilit?.
9. Sistema (1) secondo una qualsiasi delle rivendicazioni precedenti, in cui i sistemi locali embedded (10) da testare comprendono un sistema di bordo autoveicolistico o una rete di sistemi di bordo autoveicolistici collegati ad una rete di comunicazione di bordo autoveicolistica.
10. Moduli software per una piattaforma informatica remota (2) ed un?unit? elettronica locale di comunicazione ed elaborazione (3) progettati per far s? che, quando eseguiti, la piattaforma informatica remota (2) e l?unit? elettronica locale di comunicazione ed elaborazione (3) cooperino per implementare il sistema (1) per permettere a tester di penetrazione/validazione (6, 7) di eseguire test di penetrazione su, e validare la sicurezza informatica di, risorse informatiche (4) di sistemi locali embedded da testare privi di connettivit? Internet secondo una qualsiasi delle rivendicazioni precedenti.
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| IT102021000032468A IT202100032468A1 (it) | 2021-12-23 | 2021-12-23 | Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded |
| US18/270,362 US20240070292A1 (en) | 2020-12-30 | 2021-12-30 | Computing Platform for the Secure Execution of Penetration Tests and for the Secure Validation of Cybersecurity of Computer Resources of Embedded Systems |
| EP21848037.4A EP4272099A1 (en) | 2020-12-30 | 2021-12-30 | Computing platform for the secure execution of penetration tests and for the secure validation of cybersecurity of computer resources of embedded systems |
| PCT/IB2021/062463 WO2022144824A1 (en) | 2020-12-30 | 2021-12-30 | Computing platform for the secure execution of penetration tests and for the secure validation of cybersecurity of computer resources of embedded systems |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| IT102021000032468A IT202100032468A1 (it) | 2021-12-23 | 2021-12-23 | Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| IT202100032468A1 true IT202100032468A1 (it) | 2023-06-23 |
Family
ID=80001879
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| IT102021000032468A IT202100032468A1 (it) | 2020-12-30 | 2021-12-23 | Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded |
Country Status (1)
| Country | Link |
|---|---|
| IT (1) | IT202100032468A1 (it) |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20190068631A1 (en) | 2017-08-31 | 2019-02-28 | XM Ltd. | Time-Tagged Pre-Defined Scenarios for Penetration Testing |
| US20190268369A1 (en) | 2017-11-15 | 2019-08-29 | Xm Cyber Ltd. | Selectively Choosing Between Actual-Attack and Simulation/Evaluation for Validating a Vulnerability of a Network Node During Execution of a Penetration Testing Campaign |
| US20200265144A1 (en) | 2019-02-20 | 2020-08-20 | Saudi Arabian Oil Company | One-touch mobile penetration testing platform |
| CN111901349A (zh) | 2020-07-29 | 2020-11-06 | 北京天融信网络安全技术有限公司 | 一种基于车内can总线的渗透测试方法、装置及系统 |
-
2021
- 2021-12-23 IT IT102021000032468A patent/IT202100032468A1/it unknown
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20190068631A1 (en) | 2017-08-31 | 2019-02-28 | XM Ltd. | Time-Tagged Pre-Defined Scenarios for Penetration Testing |
| US20190268369A1 (en) | 2017-11-15 | 2019-08-29 | Xm Cyber Ltd. | Selectively Choosing Between Actual-Attack and Simulation/Evaluation for Validating a Vulnerability of a Network Node During Execution of a Penetration Testing Campaign |
| US20200265144A1 (en) | 2019-02-20 | 2020-08-20 | Saudi Arabian Oil Company | One-touch mobile penetration testing platform |
| CN111901349A (zh) | 2020-07-29 | 2020-11-06 | 北京天融信网络安全技术有限公司 | 一种基于车内can总线的渗透测试方法、装置及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Quarta et al. | An experimental security analysis of an industrial robot controller | |
| Malik et al. | Analysis and simulation of cyber attacks against connected and autonomous vehicles | |
| CN109286614A (zh) | 用于加强机动车辆中的网络安全的方法、设备及存储介质 | |
| CN109547401B (zh) | 网络安全漏洞优先化和修复 | |
| Zhang et al. | A cyber security evaluation framework for in-vehicle electrical control units | |
| Dobaj et al. | Cybersecurity Threat Analysis, Risk Assessment and Design Patterns for Automotive Networked Embedded Systems: A Case Study. | |
| Zelle et al. | Sepad–security evaluation platform for autonomous driving | |
| Burzio et al. | Cybersecurity of Connected Autonomous Vehicles: A ranking based approach | |
| Mahmoodi et al. | Attack surface modeling and assessment for penetration testing of IoT system designs | |
| Huq et al. | Driving security into connected cars: threat model and recommendations | |
| Deichmann et al. | The race for cybersecurity: Protecting the connected car in the era of new regulation | |
| Bayer et al. | Security crash test-practical security evaluations of automotive onboard it components | |
| Miller et al. | Securing self-driving cars (one company at a time) | |
| Stingelová et al. | User-Centric Security and Privacy Threats in Connected Vehicles: A Threat Modeling Analysis Using STRIDE and LINDDUN | |
| Yousseef et al. | Autonomous Vehicle Security: A Deep Dive into Threat Modeling | |
| US20240070292A1 (en) | Computing Platform for the Secure Execution of Penetration Tests and for the Secure Validation of Cybersecurity of Computer Resources of Embedded Systems | |
| JP7230146B1 (ja) | 車両セキュリティ分析装置、方法およびそのプログラム | |
| Hamad | A multilayer secure framework for vehicular systems | |
| IT202100032468A1 (it) | Piattaforma informatica per l'esecuzione sicura di test di penetrazione e per la validazione sicura della sicurezza informatica di risorse informatiche di sistemi embedded | |
| Wei et al. | A system theoretic approach to cybersecurity risk analysis and mitigation for autonomous passenger vehicles | |
| Püllen et al. | Ensuring Trustworthy Automated Road Vehicles: A Software Integrity Validation Approach | |
| Tout et al. | Emerging research in the security of modern and autonomous vehicles | |
| Yousseef et al. | Autonomous Vehicle Security: Hybrid Threat Modeling Approach | |
| WO2021089890A1 (es) | Sistema de inspección, evaluación y diagnóstico de nivel de ciberseguridad de un vehículo | |
| Tratter et al. | Shared mobility for transport and its environmental impact VeSIPreS: a vehicular soft integrity preservation scheme for shared mobility |