騰訊安全呂一平：安全左移應成智能網聯汽車安全管理關鍵策略

　　11月11日-13日，2020世界智能網聯汽車大會(WICV 2020)在北京舉行。作為全國智能網聯汽車年度大會，本屆大會以線下會議結合雲直播、雲展覽的方式，邀請國内外智能網聯汽車相關産業鍊專家、企業代表，圍繞“智能新時代 車聯新生活”的主題，探讨全球汽車産業新生态與技術創新版圖重構的新思路，分享行業前沿科技與成果。

　　騰訊産業安全運營部總經理呂一平在大會上，從車聯網安全攻擊面持續擴大的現狀出發，結合騰訊安全科恩實驗室研究實踐，分享了騰訊對智能網聯信息安全問題的思考及提升思路，并提出将安全納入研發設計與管理階段，通過“安全左移”提升智能網聯領域安全能力。

　　(騰訊産業安全運營部總經理呂一平)

　　近年來，随着5G、V2X等技術的推廣應用和用戶增值付費意願的提升，車聯網作為物聯網技術在智能交通系統的重要延伸，迎來新一輪規模化發展拐點。賽迪顧問數據顯示，2020年我國車聯網市場增速将超過60%，規模将在2021年達1150億元。

　　從車載智能終端到自動駕駛，智能汽車與互聯網的聯系愈加緊密。WIFI、充電樁、自動駕駛系統等大量交互接口的衍生，使得智能網聯無論是在車端、雲端、移動端都面臨着更大攻擊面。安全性顯然已成為智能網聯電子電器架構進化升級的關鍵因素。

　　結合騰訊安全科恩實驗室曆年對Tesla汽車系統安全的研究成果，呂一平分析，當前智能網聯系統常見的安全問題主要涉及三大層面。一是設計層面，系統内核及浏覽器版本滞後、已知漏洞未修複等安全特性設計的不完備，使得整個智能網聯系統陷入被遠控的風險。二是工程實踐層面，來自系統自帶安全防護、自研應用服務等的配置錯誤、代碼實現邏輯等功能缺陷，為攻擊者破解系統提供了突破口。此外，由自動駕駛等新技術引入帶來的前沿算法的應用，引發了諸如特斯拉雨刮器錯誤啟動、道路标記幹擾等新攻擊。

　　面對持續疊加的安全修複成本與代價， 如何以更低成本高效解決信息安全問題，并提升原生安全能力，成為當前智能網聯産業鍊共同的關注點。騰訊安全科恩實驗室研究統計數據顯示，由于智能汽車開發/供應商安全需求缺位的常态化，設計缺陷和已知漏洞等造成的安全問題占比已高達60%。對于智能網聯汽車而言，系統設計與研發階段的安全考量變得更加重要。

　　在呂一平看來，針對供應鍊系統碎片化明顯等車聯網發展現狀，設計研發階段的安全左移是破解車聯網安全難題的有效途徑。具體到實踐場景，涉及人、技術和流程三個層面：

　　● 人的層面，實現安全思維上的左移。從企業宏觀視角，建立高度協同且具備前瞻性的信息安全全局思維，組建專業安全團隊，打通規劃、咨詢、評估、測試管理全鍊路;

　　● 技術層面上，緊扣最小權限、攻擊面收斂、默認安全、縱深防禦等安全基本原則，重視成熟安全技術與車聯網業務場景的融合，并選擇合适的自動化工具，提升安全開發效率;

　　● 在設計研發流程上，注重安全前置的實踐。基于車企研發模式向軟件定義疊代轉變的趨勢，緻力在研發設計層面解決大部分安全隐患，達到低成本高回報的安全效益。

　　對于大多數智能網聯産業鍊企業而言，成熟自動化工具的應用是提升系統設計研發安全構建效率的重要輔助。為此，騰訊安全科恩實驗室結合其在車聯網安全領域的技術研究和服務能力産品化的成果，打造推出了一款專注于嵌入式系統的全自動安全基線審計的滲透測試輔助平台工具sysAuditor。

　　這一嵌入式系統安全審計平台能夠檢測出90%的共性安全問題，助力企業實現對研發漏洞檢測、系統安全驗收、潛在風險規避和行業安全管理等的自動化審計，從而達到提升安全基線，降低維護成本的目的。日前，該平台成功入選了工業和信息化部網絡安全管理局公布的2020年網絡安全技術應用試點，進一步加速車聯網安全實踐的複用和解決方案的落地。

　　伴随着“新基建”的宏偉藍圖不斷鋪開，各行各業數字化轉型步伐再次提速，安全能力也需要在數字化進程中實現“自适應”，能夠和5G、雲計算、智能網聯汽車、人工智能等新基建新技術産生動态協同效應。未來，騰訊安全将持續釋放釋放人才、技術優勢，加深安全産品和服務與産業場景的貼合度，夯實數字化産業縱深發展的安全底座。