众所周知，随着智能网联汽车与互联网连接，车辆必然会面临诸多威胁和风险，国内外针对汽车信息安全法规也陆续出台，要求对车辆风险进行分析和识别，降低入侵所带来的影响。安全合规逐渐成为车企的基本安全诉求，而对车辆风险进行分析和识别则是汽车信息安全的基础。
图 1 –国内外合规要求
车辆所面临的威胁和风险：
- 欺骗：伪装合法ECU向转向系统或动力控制系统发送欺骗指令，导致车辆失控；
- 篡改：篡改数据，导致控车功能失效；诊断功能失效；监控功能失效；
- 抵赖：无法判定事故责任方；
- 信息泄露：个人敏感信息、车内重要数据、知识产权等；
- 拒绝服务：利用漏洞或耗尽资源，导致零部件/服务不可用；
- 越权服务：未经授权执行越权操作。
TARA（Threat Analysis and Risk Assessment），即威胁分析和风险评估，是ISO/SAE 21434标准中，引入的风险分析的方法论。作为标准详细阐述的风险评估方法，对车辆网络安全需求及规范的制定、风险的跟踪管理等方面有着至关重要的作用。通过TARA分析，可以得出网络安全需求、对产品网络安全设计进行弱点分析、完善产品设计方案。
图 2 –TARA分析
TARA是识别、发现威胁风险、并对风险按等级高低进行排序的过程，用于确保网络安全目标、措施、概念、设计、实施的有效性，降低入侵对系统所带来的影响。豆荚科技提供的TARA服务确保满足合规需求，提供合规所需的概念阶段的成果物文件，识别车辆风险，制定安全目标和安全需求以保护车辆资产。
图 3 –豆荚TARA服务价值
豆荚科技安全技术和咨询团队，凭借在安全领域多年的积累，丰富的汽车网络安全开发经验和咨询能力，为整车OEM和供应商提供汽车网络安全体系建设咨询、网络安全技术咨询和TARA工程服务，安全需求分析与定义，安全方案设计与开发，安全产品，安全测试等技术服务。