构筑车联网安全“防火墙”,瑞数信息又双叒叕获奖了!

伴随着这些新技术的广泛应用,车联网的数据安全问题日益凸显。

近日,CCIA中国网络安全产业联盟“2024年网络安全优秀创新成果大赛”评选结果正式公布。“瑞数车联网应用数据安全监测方案”凭借在网络安全领域的创新能力和产品成熟度,从众多参赛方案和产品中脱颖而出,荣获优胜奖!

构筑车联网安全“防火墙”,瑞数信息又双叒叕获奖了!

构筑车联网安全“防火墙”,瑞数信息又双叒叕获奖了!

“2024 年网络安全优秀创新成果大赛”由中央网信办网络安全协调局指导,中国网络安全产业联盟(CCIA)牵头主办,旨在推选我国网络安全产业优秀创新成果,激发网络安全企业加强自主创新能力。大赛已经成为国内网络安全行业的一项重要标杆赛事,深受各地网信部门、政企单位以及网络安全企业的瞩目与认可。

作为大赛的重要分支赛事,“汽车网络安全专题赛”分为解决方案和创新产品两大类型,其中解决方案重点面向自动驾驶数据与网络安全等领域。本次比赛评审专家组由来自网络安全及汽车安全相关行业部门、高校、科研机构、CCIA专家委专家共同组成。

车联网数据安全落地难点

近年来,车联网作为汽车行业与信息技术深度融合的产物,正以前所未有的速度发展。车路云一体化、5G-A车联网技术、通感算一体化技术等新兴技术的应用,为人们的出行带来了极大的便利和智能化体验。然而,伴随着这些新技术的广泛应用,车联网的数据安全问题日益凸显。

“YDT3751-2020 车联网信息服务数据安全技术要求”和“YDT3746-2020 车联网信息服务用户个人信息保护要求”的出台,为车联网行业的数据安全提供了规范性的指导和约束。但现实中,汽车行业的数据泄露事件仍时有发生,给用户和企业带来了不可估量的损失。车路云一体化使得车辆、道路和云端之间的数据交互频繁且复杂,大量的敏感信息在其间传输,若安全防护不到位,极易被窃取或篡改。5G-A 车联网技术的高速率和低延迟虽提升了服务质量,但也带来了数据量的暴增和处理速度的挑战,对数据的加密、存储和访问控制提出了更高要求。通感算一体化技术的融合,则进一步增加了数据的多样性和复杂性,使得数据管理和保护的难度加大。

瑞数信息认为,车联网行业数据安全落地存在以下主要难点:

影子API管理
车联网系统中存在大量影子API,并因其隐蔽性吸引攻击者目光。难点在于如何全面、准确地发现和识别这些影子API,并对其进行有效的管理和监控,以防止数据泄露或系统被篡改。

API敏感数据保护
车联网系统中的API接口涉及大量的敏感数据,如车辆位置、用户信息、驾驶习惯等。难点在于如何确保API接口在数据传输、存储和处理过程中的安全性,防止数据被非法获取或滥用。

API访问权限控制
在车联网系统中,如何制定有效的权限控制策略,合理设置和管理不同API接口的不同权限,确保只有经过授权的用户或系统能够访问和操作这些API接口,是一个需要解决的问题。

API安全审计和监控
由于车联网系统的复杂性和多样性,如何建立完善的API接口安全审计和监控机制,及时发现和处理潜在的安全风险是一个挑战。

API漏洞发现和修复
API接口可能存在的安全漏洞是车联网系统面临的重要安全风险之一。难点在于如何建立完善的漏洞发现和修复机制,并确保这些机制能够在实际应用中得到有效执行。

资产识别难度大
车联网数据量大、业务类型复杂、涉及的应用系统较多,各应用系统的命名规范、语言、框架均有所差异,因此对于资产的有效梳理和识别是项巨大的挑战。

法律法规尚在完善阶段
由于行业发展比较快,相关法规和标准还在不断发展和完善中,企业在数据安全实践中缺乏明确的指导和规范。落地实施的方向的尺度难以把控。

前扫描、中防护、后审计,构筑车联网安全“防火墙”

在此背景下,针对车联网面临的各种安全威胁,瑞数“车联网应用数据安全监测方案”应运而生。该方案以“前扫描、中防护、后审计”为防护理念,是应对车联网安全的一项整体解决方案——车联网安全扫描器让车联网资产发现方式由被动转为主动,积极探测车联网安全漏洞与缺陷;WAAP方案全面增强车联网在Web/H5、APP 和小程序等全渠道的安全防护;车联网安全审计则提供事后溯源以及业务深入分析等功能。

构筑车联网安全“防火墙”,瑞数信息又双叒叕获奖了!

事前扫描
方案采用资产库猜测、模糊测试、主动漏洞测试等多种先进手段,对车联网系统中的API 资产进行全面测绘。通过深度分析API的接口信息、功能特性以及与其他组件的交互方式,能够精确识别出系统中的API资产,并构建出完整的API资产库。

在API资产测绘的基础上,结合内置的缺陷模型和漏洞库,对API接口进行安全风险评估。这些缺陷模型和漏洞库包含了各类已知的安全风险和漏洞类型,通过自动化检测和人工验证相结合的方式,能够发现车联网API接口中存在的各种安全风险问题,如敏感数据的传输检测、越权访问、注入漏洞等。

针对检测出的安全风险问题,瑞数信息提供专业详细的评估报告。报告中详细列出了每个安全风险的具体信息,包括问题描述、影响范围、解决方案等,帮助客户全面了解API接口的安全状况,并提供针对性的改进建议。

事中防护
解决方案中,瑞数信息创新型地将WAAP防护策略应用至车联网行业,以全面保护API接口的安全。这一策略覆盖了API接口的所有访问渠道,包括但不限于车载系统、移动APP、小程序等,确保在各种应用场景下,车辆与后台服务之间的通信都受到严密保护。

瑞数车联网安全解决方案还集成了多种关键安全能力,包括WAF、Bot防护、DDoS防护以及API管控能力。这些能力共同构建起一道坚实的防线,有效抵御各类安全威胁。构建更加安全的车联网环境。

在车联网环境中,API接口面临着来自多方面的攻击,其中Bots攻击尤为常见。这类攻击可能包括漏洞探测、参数遍历、数据爬取等,严重威胁着车辆数据的安全和隐私。通过WAAP防护策略中的主动防御和动态防御技术,瑞数信息能够实时监测并阻断这些恶意流量,有效保护API接口的安全。

事后审计
瑞数信息采用了API安全审计功能,以确保车联网系统中API接口的安全性。该功能通过流量镜像技术,能够自动识别车联网系统中的API接口,并对其进行全面的安全检测。

在审计过程中,API安全审计功能会深入分析车联网API接口的流量数据,检测其中是否存在安全风险、应用缺陷等问题。同时,它还会特别关注敏感数据和敏感文件的传输情况,确保这些重要信息在传输过程中不被窃取或篡改,从而有效保障数据的安全。

除对API接口本身的安全性进行检测外,API安全审计功能还会对API访问行为进行行为分析。通过分析访问行为的模式、频率等特征,及时发现潜在的恶意访问和未经授权的访问行为,并采取相应的防御措施,确保车联网API接口的安全稳定运行。

综上所述,瑞数车联网应用数据安全解决方案通过开发阶段的安全风险评估、上线阶段的全渠道防护以及API审计能力,为用户构建了一个完整的API安全防护体系。这一解决方案能够有效保护车联网系统中API接口的安全,确保车辆数据的安全和用户的隐私,为车联网的健康发展提供坚实的安全保障。


目前,“瑞数车联网应用数据安全监测”已广泛应用于多个场景。无论是智能交通系统,还是汽车制造商的生产研发,都能依靠它确保数据安全。在车载娱乐、远程控制、车辆诊断维修等方面,它能有效防范数据风险。对于共享汽车、自动驾驶、智能停车等领域,它更是不可或缺的保障。

在某造车新势力厂商的实际应用之中,瑞数信息方案上线一周后,该方案在扫描阶段检测出24个影子API,经业务确认是老旧未下线API接口,同时检测出超过10个严重的业务漏洞,包含未鉴权访问、过度数据暴露等。在防护阶段,该方案有效拦截针对车联网应用的攻击事件超过100次,依次是API滥用、SQL注入攻击、XSS攻击,并发现车联网应用未授权访问并拦截超过30次,限制客户端访问超过100次。在之后的审计阶段,该方案审计了超过2个车联网应用共67个未在台账中的API,审计1个车联网应用系统超过50个缺陷API在线上提供服务。

展望未来,瑞数信息将继续致力于为客户提供卓越的车联网数据安全解决方案,携手共创一个更安全、更智能的驾驶新时代。

来源:业界供稿

0赞

好文章,需要你的鼓励

2024

09/03

13:46

分享

点赞

邮件订阅