2022年并不太平，就在人們還在朋友圈發(fā)布“陽(yáng)陽(yáng)陽(yáng)”的信息之時(shí)，安全業(yè)界被一則重磅聲明打破寧?kù)o。12月20日，蔚來(lái)首席信息安全科學(xué)家、信息安全委員會(huì)負(fù)責(zé)人盧龍?jiān)谠摴竟俜紸PP發(fā)布聲明，對(duì)日前網(wǎng)絡(luò)上有人出售蔚來(lái)相關(guān)數(shù)據(jù)的情況進(jìn)行了回應(yīng)。在該聲明中，蔚來(lái)承認(rèn)了確實(shí)存在用戶基本信息和車輛銷售信息泄露的情況，并遭遇到了黑客約225萬(wàn)美元的重金勒索。
蔚來(lái)的這一次用戶數(shù)據(jù)泄露又一次為車企敲響了信息安全的警鐘，近幾年汽車行業(yè)遭遇黑客攻擊和勒索的情況屢見不鮮。無(wú)獨(dú)有偶，2022年3月，日媒報(bào)道稱該日本電裝株式會(huì)社(Denso)超過(guò)15.7萬(wàn)分訂購(gòu)單、電子郵件和設(shè)計(jì)圖紙等共計(jì)1.4TB的資料疑被泄露，并被黑客索要贖金。而在今年8月，德國(guó)汽車零部件巨頭大陸集團(tuán)被曝出遭遇了網(wǎng)絡(luò)攻擊，在拒絕支付贖金后，黑客威脅稱要將包括大陸集團(tuán)預(yù)算、投資和戰(zhàn)略規(guī)劃，以及客戶相關(guān)信息在暗網(wǎng)出售。除此之外，包括現(xiàn)代、起亞、沃爾沃、通用、大眾、英偉達(dá)等汽車和供應(yīng)商企業(yè)，在今年來(lái)都被曝出遭遇黑客攻擊的事件，其中不乏交過(guò)贖金后依舊遭“背刺”的丑聞。如此多的被攻擊勒索新聞往往給人一種錯(cuò)覺，隨著車輛智能化程度和企業(yè)數(shù)字化水平的不斷加深，它的弱點(diǎn)也就越來(lái)越多。事實(shí)如此嗎?
黑客越來(lái)越狡猾 手段越來(lái)越先進(jìn)
此次蔚來(lái)汽車的數(shù)據(jù)泄露事件，關(guān)乎到用戶的權(quán)益，更關(guān)乎行業(yè)發(fā)展進(jìn)程，也從側(cè)面佐證，安全防護(hù)能力將成為未來(lái)車企的核心競(jìng)爭(zhēng)力之一。不管是傳統(tǒng)車企，還是新能源車企，提升安全防護(hù)能力，杜絕此類事件的再次發(fā)生，都顯得至關(guān)重要。
目前車企面臨最主要的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)來(lái)自于黑客技術(shù)的快速迭代，而一些攻擊方式也在“與時(shí)俱進(jìn)”，新技術(shù)的開發(fā)也會(huì)引入新的漏洞。數(shù)智中國(guó)網(wǎng)絡(luò)安全研究院資深專家吳純勇表示，在相關(guān)技術(shù)的不斷加持下，當(dāng)前黑客攻擊手段越來(lái)越先進(jìn)，部分車企在專業(yè)的信息安全組織、安全管理機(jī)制、必要的安全技術(shù)和安全運(yùn)營(yíng)人員等方面都比較缺乏。伴隨著當(dāng)下的5G及其即將到來(lái)的6G時(shí)代，汽車智能化、網(wǎng)聯(lián)化程度將會(huì)越來(lái)越高，車內(nèi)聯(lián)網(wǎng)的部件越來(lái)越多，面對(duì)越來(lái)越開放的車內(nèi)環(huán)境，車企及相關(guān)零部件廠商該如何保障汽車的信息安全，這是一個(gè)重大的課題，每個(gè)車企都應(yīng)該謀求安全能力的升級(jí)迭代。
吳純勇表示，“吃瓜”群眾往往會(huì)將車企的安全問(wèn)題簡(jiǎn)單聯(lián)系成車輛的安全性不夠，但實(shí)際上，安全是一個(gè)綜合問(wèn)題，出現(xiàn)安全問(wèn)題可能有諸多原因，并不一定代表車輛的聯(lián)網(wǎng)部件被攻破，有可能是因?yàn)閮?nèi)部人員的被釣魚攻擊甚至是內(nèi)部人員的泄露，還可能是被黑客利用曲線攻擊攻破，比如車企的軟件供應(yīng)鏈安全隱患、網(wǎng)站等Web應(yīng)用系統(tǒng)被攻破進(jìn)而造成數(shù)據(jù)泄露等。“因?yàn)楣シ赖牟粚?duì)等，車企在明，黑客在暗，安全問(wèn)題需要具體問(wèn)題具體分析，不能以偏概全，更不能一葉障目，車企需要做的就是不斷修煉內(nèi)功，運(yùn)用新型安全防護(hù)手段，提升網(wǎng)絡(luò)安全能力。”吳純勇呼吁。
知名安全研究機(jī)構(gòu)燭龍實(shí)驗(yàn)室負(fù)責(zé)人李雨側(cè)面佐證了吳純勇的觀點(diǎn)：“當(dāng)前黑客攻擊手段日新月異，新型攻擊手段的運(yùn)用往往讓政企客戶防不勝防，疲于應(yīng)對(duì)，尤其是對(duì)安全意識(shí)薄弱、安全能力不足的企業(yè)來(lái)說(shuō)，出現(xiàn)安全問(wèn)題只是早晚的問(wèn)題。”他表示，黑客往往攻擊的是企業(yè)的薄弱環(huán)節(jié)，對(duì)新型攻擊手段和防護(hù)手段的不了解，往往造成黑客與企業(yè)之間的信息差，當(dāng)前0Day、內(nèi)存馬等已經(jīng)成為黑客最常使用的攻擊手段之一，但很多車企尤其是一些國(guó)內(nèi)車企對(duì)此知之甚少。
至于該如何加強(qiáng)車企安全防護(hù)水平，李雨建議，車企應(yīng)該加強(qiáng)安全意識(shí)的培訓(xùn)、安全新產(chǎn)品、新技術(shù)的研究，守其所必攻。未來(lái)黑客的重點(diǎn)之一是核心Web應(yīng)用系統(tǒng)，這不僅適用于車企，很多企業(yè)都需加強(qiáng)核心Web應(yīng)用系統(tǒng)的防護(hù)，具體到車企，車輛自身安全是一方面，其他應(yīng)用系統(tǒng)的防護(hù)也必須加強(qiáng)，因?yàn)槿魏我惶幈还テ?，最終受損失的都是用戶，尤其是在用戶數(shù)據(jù)等核心信息比較集中的系統(tǒng)是防護(hù)的重中之重。
靖云甲ADR可助車企加強(qiáng)應(yīng)用防護(hù)
車企應(yīng)建立起相關(guān)的網(wǎng)絡(luò)安全或數(shù)據(jù)安全的配套防護(hù)措施和防范的管理體系，確保敏感信息不被截取、泄露。在數(shù)據(jù)生命周期中的采集、傳輸、存儲(chǔ)、處理、交換等各個(gè)環(huán)節(jié)中，“應(yīng)用”是最高頻、最重要、最關(guān)鍵的數(shù)據(jù)安全場(chǎng)景。
邊界無(wú)限副總裁、產(chǎn)品總負(fù)責(zé)人沈思源表示，邊界無(wú)限靖云甲ADR基于RASP技術(shù)，以Web應(yīng)用為核心，以RASP為主要安全能力切入點(diǎn)，打造Web應(yīng)用全方位安全檢測(cè)與響應(yīng)的解決方案，是邊界無(wú)限幫助用戶構(gòu)建云原生時(shí)代安全基礎(chǔ)設(shè)施體系的起點(diǎn)和戰(zhàn)略支點(diǎn)，更是“靈動(dòng)智御”理念的實(shí)踐，可以幫助車企建立健全整體應(yīng)用安全防護(hù)體系。靖云甲ADR引入多項(xiàng)前瞻性的技術(shù)理念，通過(guò)對(duì)應(yīng)用風(fēng)險(xiǎn)的持續(xù)檢測(cè)和安全風(fēng)險(xiǎn)快速響應(yīng)，幫助企業(yè)應(yīng)對(duì)來(lái)自業(yè)務(wù)增長(zhǎng)、技術(shù)革新和基礎(chǔ)設(shè)施環(huán)境變化所產(chǎn)生的等諸多應(yīng)用安全新挑戰(zhàn)。
0Day、內(nèi)存馬等新型攻擊手段的運(yùn)用，高危漏洞、特定漏洞、API資產(chǎn)模糊不清、傳統(tǒng)安全產(chǎn)品容易被繞過(guò)等安全隱患，將給企業(yè)的安全防護(hù)帶來(lái)極大的挑戰(zhàn)。網(wǎng)絡(luò)黑客針對(duì)應(yīng)用的攻擊手段在不斷升級(jí)，廣大政企客戶應(yīng)用內(nèi)生安全的基因并未被激發(fā)，還是采取傳統(tǒng)的邊界防護(hù)手段，沒有進(jìn)行應(yīng)用運(yùn)行時(shí)的動(dòng)態(tài)防御，沈思源表示。
邊界無(wú)限靖云甲ADR擁有精準(zhǔn)細(xì)化的資產(chǎn)清點(diǎn)、緊跟形式的安全研究、海量可靠的漏洞運(yùn)營(yíng)、輕量無(wú)感的性能損耗等優(yōu)點(diǎn)，尤其是在應(yīng)用資產(chǎn)管理、供應(yīng)鏈安全、API資產(chǎn)學(xué)習(xí)層面，其表現(xiàn)優(yōu)異。靖云甲ADR跨IT架構(gòu)統(tǒng)計(jì)應(yīng)用資產(chǎn)，實(shí)現(xiàn)安全能力同步管控，為應(yīng)用提供安全風(fēng)險(xiǎn)評(píng)估;動(dòng)態(tài)采集應(yīng)用運(yùn)行過(guò)程中的組件加載情況，快速感知資產(chǎn)動(dòng)態(tài)，全面有效獲知供應(yīng)鏈資產(chǎn)信息;自主學(xué)習(xí)流量+應(yīng)用框架，具體來(lái)說(shuō)，靖云甲ADR會(huì)通過(guò)插樁對(duì)應(yīng)用內(nèi)部框架定義的API方法以及應(yīng)用流量進(jìn)行API全量采集，同時(shí)利用AI 檢測(cè)引擎請(qǐng)求流量進(jìn)行持續(xù)分析，自動(dòng)分析暴露陳舊、敏感數(shù)據(jù)等關(guān)鍵問(wèn)題。
以車企需要重點(diǎn)關(guān)注的API資產(chǎn)管理為例，邊界無(wú)限靖云甲ADR的優(yōu)勢(shì)凸顯。API作為業(yè)務(wù)資產(chǎn)具體的承載，通常將成為安全團(tuán)隊(duì)重點(diǎn)關(guān)注的關(guān)鍵資產(chǎn)。靖云甲ADR通過(guò)插樁對(duì)應(yīng)用流量進(jìn)行全量采集，利用AI 檢測(cè)引擎對(duì)請(qǐng)求流量進(jìn)行持續(xù)分析，從而實(shí)現(xiàn)對(duì)API資產(chǎn)的自動(dòng)發(fā)現(xiàn)，實(shí)現(xiàn)API資產(chǎn)的可觀測(cè)性。同時(shí)，靖云甲ADR AI檢測(cè)引擎會(huì)對(duì)API的參數(shù)及請(qǐng)求頭等關(guān)鍵內(nèi)容進(jìn)行風(fēng)險(xiǎn)評(píng)估，為API安全優(yōu)化提供輔助性的策略。此外，靖云甲ADR通過(guò)建立自主學(xué)習(xí)模型，實(shí)現(xiàn)API的自動(dòng)發(fā)現(xiàn)，漏洞挖掘;自動(dòng)生成API訪問(wèn)策略，通過(guò)調(diào)用追蹤的方式建立可視化的API風(fēng)險(xiǎn)見解，為API提供實(shí)時(shí)防御。
0Day漏洞攻擊是黑客慣用的手段之一，靖云甲ADR可天然免疫90%以上的0Day漏洞，沈思源介紹說(shuō)，在前文提到的內(nèi)存馬是無(wú)文件攻擊的一種技術(shù)手段，攻擊者通過(guò)應(yīng)用漏洞結(jié)合語(yǔ)言特性在Web系統(tǒng)注冊(cè)包含后門功能的API，并且此類API在植入之后并不會(huì)在磁盤上寫入文件，代碼數(shù)據(jù)只寄存在內(nèi)存中，給傳統(tǒng)的安全設(shè)備檢測(cè)帶來(lái)巨大難度。這令廣大企業(yè)在網(wǎng)絡(luò)攻防演練及實(shí)際網(wǎng)絡(luò)攻擊中倍感頭疼。攻擊者利用無(wú)文件的特性可以很好的隱藏后門，利用包含后門代碼的Web API來(lái)長(zhǎng)期控制業(yè)務(wù)系統(tǒng)以及作為進(jìn)入企業(yè)內(nèi)部的網(wǎng)絡(luò)跳板。邊界無(wú)限靖云甲ADR采用“主被動(dòng)結(jié)合”雙重防御機(jī)制，對(duì)外基于RASP能力對(duì)內(nèi)存馬的注入行為進(jìn)行有效防御，對(duì)內(nèi)通過(guò)建立內(nèi)存馬檢測(cè)模型，通過(guò)持續(xù)分析內(nèi)存中存在的惡意代碼，幫助用戶解決掉埋藏內(nèi)存中的“定時(shí)炸彈”。針對(duì)內(nèi)存中潛藏的內(nèi)存馬，靖云甲ADR提供了一鍵清除功能，可以直接將內(nèi)存馬清除，實(shí)現(xiàn)對(duì)內(nèi)存馬威脅的快速處理。靖云甲ADR還可以通過(guò)主動(dòng)攔截+被動(dòng)掃描，有效阻斷內(nèi)存馬的注入;對(duì)已經(jīng)被注入的內(nèi)存馬提供源碼和特征檢測(cè)信息，無(wú)需重啟應(yīng)用即可一鍵清除。這些都在業(yè)界處于領(lǐng)先水平。
冰凍三尺非一日之寒，安全能力的提升需要日積月累的鞏固和加強(qiáng)，邊界無(wú)限已經(jīng)準(zhǔn)備好為廣大車企乃至各行各業(yè)的企業(yè)用戶加強(qiáng)應(yīng)用安防護(hù)能力保駕護(hù)航。
（免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。
任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。 ）
