伴隨著汽車與外界的交互手段不斷豐富，車聯(lián)網(wǎng)相關設備、系統(tǒng)間的數(shù)據(jù)交互更加頻繁，萬物互聯(lián)下的網(wǎng)絡攻擊也逐漸滲透延伸到車聯(lián)網(wǎng)的領域。汽車行業(yè)面臨著重大的信息安全挑戰(zhàn)。此外，UNECE WP.29 R155和ISO/SAE 21434標準也對汽車的信息安全提出了規(guī)范化的要求，旨在產品全生命周期中，分階段將信息安全威脅導致的風險降低到合理的范圍，汽車信息安全不容忽視。
經(jīng)緯恒潤針對ISO/SAE 21434、WP.29 R155等進行了深入研究，結合多年功能安全、信息安全經(jīng)驗，為客戶提供關鍵產品的信息安全測試解決方案。本文特別推出基于信息安全的軟測工具鏈解決方案，為客戶在信息安全方向實現(xiàn)自動化測試提供優(yōu)選。
平臺化信息安全測試解決方案之信息安全平臺實施
ISO/SAE 21434按照產品全生命周期的順序，定義了概念設計、研發(fā)、驗證、生產、運維以及報廢等各階段對于車輛信息安全的要求。Cybellum面向信息安全的測試與管理平臺，可以在各個階段對產品進行安全風險檢測與評估，從SBOM到漏洞管理、合規(guī)性驗證和持續(xù)風險監(jiān)控，可以確保產品長期安全。此外，它還有豐富的API接口，支持與多種平臺的集成，實現(xiàn)流程化的檢測。
圖1 Cybellum信息安全平臺介紹
WP.29 R155標準中要求供應商進行CSMS（信息安全管理體系要求）與VTA（車輛形式要求）認證，車輛才可以銷往歐盟等海外國家。Cybellum可以提供CSMS活動的完全覆蓋，貫穿到整個產品生命周期中，其中包括：
- Asset Management
- Concept & Design
- TARA
- SBOM
- Licensing Compliance
- Vulnerability Management
- Security Testing
- Threat Monitoring
- Incident Response
- Governance & Compliance
該平臺為客戶提供了“自動化CSMS”的獨特能力，如下圖，通過Cyber Digital Twins核心技術，實現(xiàn)自動化SBOM創(chuàng)建，許可合規(guī)、安全評估和事件響應等。
圖2：CSMS活動
源碼級信息安全測試解決方案之靜態(tài)分析
在ISO/SAE 21434中，RC-10-20中要求針對信息安全，使用合適的建模、設計或編程語言的標準，如果該語言本身沒有充分解決安全問題，則應由編碼指南或開發(fā)環(huán)境涵蓋。
下圖展示了ISO/SAE 21434對靜態(tài)測試的要求，適用于信息安全的設計、建模和編程語言標準可包括使用語言子集；強制使用強類型；防御性編程技術，Helix QAC工具均可以實現(xiàn)檢測。
圖3：ISO/SAE 21434對靜態(tài)測試的要求
- Helix QAC支持行業(yè)內常用的規(guī)則包，如MISRA C、MISRA C++、AUTOSRA C++、CERT、CWE 等，用戶可以根據(jù)需要選擇所需的規(guī)則包，并可在規(guī)則包的基礎上添加額外的規(guī)則，或進行精簡。
- Helix QAC中內置了上千條規(guī)則，其中包含相關規(guī)則，對隱式類型轉換進行相關警告，以確保強數(shù)據(jù)類型的使用。
- Helix QAC會強調應該限制語言使用的領域，以避免不可預見的問題和減少潛在的錯誤，從而確保開發(fā)者使用防御性編程技術。
圖4：源碼級信息安全測試解決方案之靜態(tài)分析
源碼級信息安全測試解決方案之單元/集成測試
在ISO/SAE 21434中，在單元/集成測試方面對測試用例設計方法以及覆蓋度做了相應的要求。
圖5：ISO/SAE 21434中對測試用例設計方法的要求
- Tessy內置需求管理組件，可以將軟件需求與測試用例進行鏈接，從而驗證任何需求都至少有一個分配到它的測試用例。
- 通過分類樹編輯器（CTE），Tessy可以輔助用戶快速理清等價類劃分思路，以及靈活地設置數(shù)據(jù)邊界值，從而自動化生成滿足CAL要求的測試用例，降低用例冗余度，提高測試效率。
圖6： ISO/SAE 21434中對覆蓋度的要求
- Tessy可以計算ISO/SAE 21434標準中要求的各種覆蓋度：語句覆蓋、分支覆蓋、函數(shù)覆蓋、調用覆蓋，而且Tessy也支持ISO/SAE 26262中要求的MC/DC覆蓋。
- Tessy支持自動分析代碼并繪制函數(shù)流程圖，以圖形化方式顯示測試覆蓋情況，幫助用戶提高測試覆蓋度。
圖7：源碼級信息安全測試解決方案之單元/集成測試
經(jīng)緯恒潤提供汽車信息安全解決方案，旨在借助產品安全平臺以及服務，幫助國內汽車OEM及其供應商能夠在汽車軟件開發(fā)全生命周期內大規(guī)模評估和降低安全風險，保證產品安全。
