ISO21434道路车辆网络安全-11.网络安全确认

本文介绍了ISO21434网络安全流程标准中Part11关于整车层面网络安全确认的内容,包括验证目标、确认风险、选择确认方法(如审查、渗透测试、漏洞扫描和模糊测试)以及主机厂的角色。重点强调了在实际运行环境和批量生产配置下的网络安全确认实践。
摘要由CSDN通过智能技术生成

ISO21434是一套网络安全流程标准,本章是Part11 网络安全确认的总结。本章描述相关项在整车层面的网络安全确认,此时相关项已处于整车层面的运行环境和批量生产的配置。

活动目的:

1)验证网络安全目标和网络安全声明;

2)确认相关项达到了网络安全目标;

3)确认没有不合理的风险存在。

活动输入:

1)相关项定义;

2)网络安全目标/声明;

3)网络安全概念;

4)开发过程的成果。

活动输出:

1)网络安全确认报告。

1. 相关项在整车层面应确认:

1)对威胁场景和相应风险,网络安全目标是否充分;

2)网络安全目标已实现;

3)网络安全声明的有效性;

4)对运行环境的要求的有效性,如有。

2. 确认方法,须提供选择哪种方法的理由:

1)审查网络安全概念和开发阶段的工作成果,确认网络安全目标的实现;

2)渗透测试,证明网络安全目标的充分和实现,CAL等级可以用来确定渗透测试的深度和严格程度(如下截图,来自附录E);

3)审查对概念阶段和开发阶段识别到的所有风险的管理。

其他:

1)如果网络安全目标不充分,发现了未识别到的风险,需要重新分析并增加安全目标

2)网络安全确认活动发现的弱点同样要进行漏洞分析和管理

总结:网络安全确认主要是在整车层面对相关项的网络安全目标/声明、运行环境的确认,可通过审查或测试进行确认,测试方法不只渗透测试,参考附录E还有功能测试、漏洞扫描、模糊测试。须区分与开发阶段的网络安全测试,网络安全确认重点在于整车环境及配置,一般由主机厂负责。

渗透测试是一组测试方法,用于发现系统中存在的漏洞,攻击者可以利用这些漏洞来控制,获取特权访问,公开特权数据,或者仅仅导致系统故障。渗透测试的输出有助于确定网络安全要求和控制措施,以增强项目或组件的安全性,以应对潜在威胁。 渗透测试通常涉及使用真实对手使用的相同工具和技术对真实系统和数据进行真实攻击。渗透测试通常涉及寻找单个系统或多个系统上的漏洞的组合,这些漏洞的组合可用来 获得比单个漏洞所能获得的更多访问权限。

漏洞扫描是一套技术,可以评估和量化漏洞的利用风险。可以通过被动扫描(例如,寻找可利用的编码错误)或主动扫描来访问例如主机进程,网络协议,文件系统或内存来执行漏洞扫描。也可以使用这些级别的已知漏洞清单以类似方式将漏洞扫描应用于硬件和系统架构。漏洞扫描可用作渗透测试或分析的技术。

模糊测试是一种测试类型,通过提供大量随机数据(通常以自动化或半自动化的方式) 作为输入,查找系统弱点和漏洞(例如,故障和编码错误)。如果系统崩溃或偏离正常行为,则输出将报错。模糊测试可以在系统或接口级别上进行,也可以通过列出被测 软件中的每个变量并对代码中每个软件变量的随机值进行模糊化来更详尽地进行。在后一种方法中,测试通常是高度自动化的。模糊测试可用于发现例如具有网络安全隐患的溢出,分段和堆错误。模糊测试可以应用于硬件输入。模糊测试可以用作渗透测试的技术。

本专栏全标准解读,请见专栏

评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

一维叶

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值