鉴源实验室丨TARA分析方法论

最新推荐文章于 2024-02-02 13:58:01 发布

上海控安

最新推荐文章于 2024-02-02 13:58:01 发布

阅读量4.4k

点赞数 2

分类专栏：鉴源论坛文章标签：网络汽车电子

本文链接：https://blog.csdn.net/TICPSH/article/details/126847969

版权

鉴源论坛专栏收录该内容

75 篇文章 30 订阅

订阅专栏

作者 | 沈平上海控安可信软件创新研究院研发工程师

来源 | 鉴源实验室

什么是TARA

TARA是威胁分析与风险评估（Threat Analysis and Risk Assessment）的缩写,其在ISO/SAE 21434中被认为是网络安全分析的核心方法。网络安全管理贯穿于ISO/SAE 21434所提出的汽车系统全生命周期，例如在概念阶段（21434标准第9章节）中，完成“对象”（Item）定义后，就需要进行TARA分析来识别车辆潜在的威胁及其风险等级，以明确网络安全目标，并为后续生成网络安全需求提供输入，最终指导后续的正向开发。在后开发阶段可对网络安全进行分析，得到的安全漏洞及其风险等级可指导后续的风险处置决策。

在ISO/SAE 21434的第15章节中介绍了TARA的方法论，同时在附录H中以汽车大灯系统为例进行了TARA分析。本文也将结合个人经验对该TARA方法论进行解读。

TARA方法论解读

在ISO/SAE 21434的TARA例子中共有7个部分，分别为资产定义（Asset Identification）、影响等级评估（Impact Rating）、威胁场景识别（Threat Scenario Identification）、攻击路径分析（Attack Path Analysis）、攻击可行性评估（Attack Feasibility Rating）、风险等级判定（Risk Value Determination）、风险处置决策（Risk Treatment Decision）。这7个部分的顺序并非固定，图1为21434标准中所建议的TARA分析流程。

图1 TARA分析流程概览图

关键概念辨析

为更好地介绍TARA分析，接下来将进行关键概念辨析：

1. 资产（Asset）：本身有价值的物体或者能产生价值的物体。

2. 损害场景（Damage Scenarios，DS）：描述对象功能与不良后果之间的关系；对道路使用者或者相关资产造成的危害。

3. 影响（Impact）：由DS造成的损害、对身体伤害的严重度程度估计。（DS造成为危害的影响）

4. 威胁场景（Threat Scenarios，TS）：造成一个或多个资产的网络安全属性威胁的潜在原因，以造成损害情景。（DS的原因）

5. 攻击路径（Attack Path）:一套恶意的行为以实现威胁情景。（实现TS的一种或一组方法，是方法不是物理路径！）

6. 攻击可行性（Attack Feasibility）：描述了成功执行攻击路径的难易程度。

7. 风险等级（Risk Value）：结合影响等级和攻击可行性来描述道路车辆的网络安全不确定性的影响。

*注：一个资产可以有多个网络安全属性，一个网络安全属性可对应多个损害场景。一个损害场景可对应多个威胁场景，一个威胁场景可对应多个损害场景。

对象定义

在进行TARA分析前需要完成对象定义（Item Defintion）来得到明确的分析范围。所谓对象，就是在车辆级别实现功能部件或组件。对象定义包括目标对象的边界、功能、初步系统架构等。

资产定义

本身有价值的物体，或者能产生价值的物体，即可定义为资产。资产可分为实体资产、数据资产（包括ECU固件、通讯数据、用户隐私数据、安全算法等）。识别资产所带有的网络安全属性（Cybersecurity Properties）得到带有网络安全属性的资产，进一步可分析其潜在的损害场景（Damage Scenarios，DS），这是资产定义所需要输出的两大产物。可根据对象定义，借助数据流图（Data Flow Diagram，DFD），从进程、数据流、数据存储、交互方角度考虑得到资产，也可基于预定义分类进行枚举、基于损害场景-威胁场景得到资产。

对于资产的网络安全属性最常用的确定方法为微软的STRIDE模型，该模型通过威胁来映射到相应的网络安全属性，常用的安全属性包括完整性-I、机密性-C、可用性-A。如表1所示。

表1 STRIDE模型->安全属性映射表

对于损害场景的描述可包括对象功能与不良后果之间的关系、外部环境、对道路使用或者相关资产造成的危害。

损害场景示例，假设资产为车辆行驶显示数据，网络安全属性为机密性，那么可以得到损害场景为车辆行驶显示数据被盗，造成乘客隐私信息泄露。如表2所示。

表2 损害场景示例表

影响等级评估

对于影响等级的评定可从以下四个评判因子：Safety 安全、Financial 财产、Operational 操作、Privacy 隐私（S、F、O、P）来评定DS的危害影响。每个评判因子评级分为四档：Severe 严重的、Major 重大的、Moderate 中等的、Negligible 微不足道的。对于影响等级评估除了标准附录F以外还可参考J3601。表3-6详细展示了ISO 21434中对于影响等级的评定打分。