几周前，当Apache软件基金会（Apache Software Foundation）披露其Java日志库Log4j当存在巨大的安全漏洞时，与车辆通信相关的应用服务器也成为潜在攻击的对象。
在汽车行业，类似的安全预警并不新鲜。
2019年，一名白帽黑客发现特斯拉的跨站脚本攻击漏洞 (XSS) 其他车辆信息获取其他车辆信息，如车辆VIN、速度、温度、胎压等信息。
一年后，比利时安全研究人员发现特斯拉Model X密钥卡有快速解锁车辆的漏洞。攻击者可以使用旧的Model X车辆中回收的电子控制单元（ECU）利用这个漏洞。
去年5月，两名德国安全研究员宣布Tbone漏洞（wifi热点)通过控制无人机，可以实现对特斯拉的无接触近距离攻击，打开特斯拉的后备箱和解锁。
为此，特斯拉还有一个特殊的官方漏洞奖励计划，并为发现安全漏洞的工程师设立了安全研究人员名人堂，以提高特斯拉的产品和服务安全。
一、
在西门子EDA汽车集成电路测试解决方案负责人认为，多层安全和设备可靠性将是智能汽车面临的最大挑战之一。此外，在车辆连接成为标准后，确保外部不能访问敏感数据也是一个关键的工程问题。
这意味着对安全测试和监控的需求已经成为主流。
例如，在过去的几十年里，汽车行业的零部件召回问题往往只是因为少数车辆存在问题，不会同时出现大面积问题。汽车制造商可以通过大规模召回来避免故障的暴露。
如果一辆有软件安全漏洞的车辆受到攻击，路上所有配备统一版本软件的车辆都可能受到攻击，这意味着漏洞可以同时攻击所有车辆。在业内人士看来，整车OTA、V2X外部通信的增加也大大提高了网络安全的重要性。
当然， 幸运的是，世界上没有重大的汽车软件安全事故。信息娱乐系统、网关和车身控制是常见的攻击部位。
例如，去年年初，一名安全研究人员入侵了日产Xterra通过插入一个来自博世的信息娱乐系统USB设备可以获得系统root shell访问权限，并获得安装未经授权软件的权限。
根据汽车网络安全公司Upstream Security许多汽车制造商在不同车型上安装了类似的博世信息娱乐系统，这可能会使他们面临同样的风险。
事实上，在传统的开发模式下，并非所有的汽车制造商都会跟踪与上述组件相关的潜在网络安全漏洞。这意味着没有人知道博世是否解决了世界上数百万辆配备类似系统的漏洞。
这一点已经正式发布UNECE WP.29 R155法规和ISO/SAE 21434标准要求供应链安全管理，可见一斑。
云驰未来副总裁杨洋认为，智能网络汽车的信息和网络安全需要在产品规划阶段考虑。只有这样，安全才能融入架构设计、软硬件开发、测试、批量生产和售后的整个生命周期。
比如，WP.29 R根据155，供应链网络安全管理的责任在于汽车制造商，他们有责任确保所有汽车零部件（包括硬件和软件）的安全。ISO/SAE 21434标准还强调了供应链管理的重要性，如汽车制造商与一级和二级供应商之间的网络安全关系。
例如，云驰未来推出的车联网安全中间件是面向未来的集中电子电气架构设计的信息安全软件框架，可集成到域控系统中，为各车域控系统（如动力域、底盘域、自动驾驶域等）提供安全能力。
Upstream Security推出的AutoThreat?工具是记录车辆、部件和基础设施的安全漏洞，并提供与单个车型相关的安全漏洞ECU用漏洞映射检测车辆组件和设备漏洞。同时，通过各种威胁分析工具捕获各种威胁指标。
云驰未来也在近日重磅发布了国内第一款自主研发的高度自动化车辆信息安全威胁分析与风险评估的TARA工具——InTARA，用户可以通过图形界面和建模方法编辑管理和安全分析评价，大大提高了安全分析师的工作效率。
二、
可扩展的嵌入式边缘开放架构(SOAFEE)，是一个由Arm联合大众集团软件子公司牵头Cariad、博世，大陆集团，Green Hills、Marvell、丰田软件子公司红帽Woven Planet下一代软件架构及参考设计，等待汽车行业主要玩家合作。
SOAFEE在开发基于Arm在平台汽车软件方面，云原生技术加快了汽车软件开发和部署的应用，涉及软件可移植性、更快的开发时间和更低的成本，整合了软件容器、微服务系统结构、虚拟化和虚拟化等多种主流软件开发技术DevOps等。
作为持续集成和交付的工作流，DevOps它将在汽车生命周期的软件管理中发挥重要作用，包括网络安全、漏洞修复、功能软件更新等。DevOps每个阶段的过程。
在ISO/SAE 21434汽车网络安全标准中，讨论的焦点就在威胁分析与风险评估（Threat Analysis and Risk Assessment，TARA），外部威胁主要包括在安全评估中。在整个车辆生命周期中，企业需要对潜在的网络威胁进行威胁分析和风险评估，以监控网络安全事件。
根据ISO/SAE 21434标准，从概念设计到生产再到最终报废，网络汽车的所有电子系统都必须考虑网络安全，系统设计必须能够为不断变化的威胁提供强有力的保护。上述标准定义的要求必须嵌入到公司的组织中DNA包括一套完整的网络安全管理系统(CSMS)。
，包括分析对象、内容、资产识别和影响评估、威胁场景和攻击路径分析、需求模板输出评估报告等步骤，企业通过信息安全相关项目TARA产品信息安全目标可通过分析获得。
同时，云驰的未来InTARA该软件以工程文件的形式保存数据和评估结果，并支持与后台服务器通信实现数据共享和业务协调。
此外，还有其他市场TARA云驰未来有不同的分析工具InTARA有明确的导航指示可以帮助用户快速了解业务位置和进度。InTARA你也可以独立学习历史TARA面对新的评估对象，数据实现了更快的脆弱性发现。
在具体的商业模式下，云驰未来将提供免费服务License的方式，向OEM或Tire1提供TARA工具使用权。另一方面，也可以结合TARA为客户提供车联网安全中间件、安全合规咨询、技术服务等一系列安全产品。
行业现状如软件分析安全测试(SAST)它不是快速开发的，大多数是手动检查代码（一些企业使用模糊测试）。同时，也缺乏必要的自动验证手段。
其中，后者支持企业软件开发过程ISO26262功能安全遵从性。
例如，自动化和高效TARA分析工具可以大大解决主机厂和Tier1.分析制造商的潜在威胁和安全漏洞。
此外，目前OTA大部分阶段仍然是软件Bug维修、功能更新和付费订阅；以特斯拉和小鹏为代表的许多企业已经开始了软件即服务阶段，代表性功能是远程诊断和维修，通常被称为DOTA。