DE102018123197A1

DE102018123197A1 - Priorisierung und behebung von cybersicherheitsschwachstellen

Info

Publication number: DE102018123197A1
Application number: DE102018123197.0A
Authority: DE
Inventors: Kevin M. Baltes; Karl B. Leboeuf
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2017-09-21
Filing date: 2018-09-20
Publication date: 2019-03-21
Also published as: US20200034574A1; CN109547401B; CN109547401A; US10678954B2

Abstract

System und Verfahren zur Bewertung einer oder mehrerer Cybersicherheitsschwachstellen, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen, wobei das Verfahren Folgendes beinhaltet: Erstellen eines Cybersicherheits-Angriffsschemas für jede der einen oder mehreren Cybersicherheitsschwachstellen; Bestimmen einer oder mehrerer Ressourcenmetriken für jede der Vielzahl von böswilligen Handlungen jeder der einen oder mehreren Cybersicherheitsschwachstellen; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer oder mehrerer endgültiger Ressourcenmetriken, basierend auf der Bewertung jeder der einen oder mehreren Ressourcenmetriken unter Verwendung eines Wiederholungsprozesses für ein Angriffsschema der Cybersicherheit; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer Auswirkungsmetrik, die einen Schadensgrad angibt, der durch die Cybersicherheitsschwachstelle verursacht werden kann; und Berechnen einer Prioritätsstufe für jede der einen oder mehreren Cybersicherheitsschwachstellen basierend auf der Auswirkungsmetrik und der einen oder mehreren endgültigen Ressourcenmetriken.

Description

EINFÜHRUNG
Die vorliegende Erfindung bezieht sich auf die Priorisierung von Cybersicherheitsschwachstellen und die Behebung der Schwachstellen entsprechend ihrer jeweiligen Priorität.
Mit dem ständig wachsenden Computer-Universum haben böswillige Akteure verschiedene Sicherheitslücken in verschiedenen Computernetzwerken, wie zum Beispiel in Fahrzeugen, aufgespürt und ausgenutzt. Einige dieser Cybersicherheitsschwachstellen können sich als gefährlicher erweisen und größere Schäden verursachen als andere Schwachstellen der Cybersicherheit.
KURZDARSTELLUNG
Gemäß einem ersten Aspekt der Erfindung gibt es ein Verfahren zur Bewertung einer oder mehrerer Schwachstellen in der Cybersicherheit, um eine Prioritätskennzahl für jede der einen oder mehreren Schwachstellen in der Cybersicherheit festzulegen, wobei das Verfahren Folgendes beinhaltet: Erstellen eines Angriffsschemas für die Cybersicherheit für jede einzelne oder mehrere Schwachstellen in der Cybersicherheit, worin das Angriffsschema für die Cybersicherheit verschiedene Möglichkeiten zum Aufdecken der Schwachstelle in der Cybersicherheit modelliert, worin das Angriffsschema für die Cybersicherheit eine Vielzahl von bösartigen Aktionen beinhaltet, die ausgeführt werden können, und worin das Aufdecken der Cybersicherheitsschwachstelle einen potenziell bösartigen Schaden an einem Zielobjekt ermöglicht; Bestimmen einer oder mehrerer Ressourcenmetriken für jede der Vielzahl von bösartigen Aktionen jeder der einen oder mehreren Cybersicherheitsschwachstellen; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer oder mehrerer endgültiger Ressourcenmetriken, basierend auf der Bewertung jeder der einen oder mehreren Ressourcenmetriken unter Verwendung eines Wiederholungsprozesses für ein Angriffsschema der Cybersicherheit; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer Auswirkungsmetrik, die einen Schadensgrad angibt, der durch die Cybersicherheitsschwachstelle verursacht werden kann; und Berechnen einer Prioritätsstufe für jede der einen oder mehreren Cybersicherheitsschwachstellen basierend auf der Auswirkungsmetrik und der einen oder mehreren endgültigen Ressourcenmetriken.
In einer oder mehreren besonderen Ausführungsformen kann dieses Verfahren eines oder mehrere der folgenden Merkmale in jeder technisch möglichen Kombination beinhalten:

• den Schritt zum Beheben mindestens einer der einen oder mehreren Cybersicherheitsschwachstellen;
• die mindestens eine zu behebende Cybersicherheitsschwachstelle wird basierend auf den Cybersicherheits-Prioritätsstufen der einen oder mehreren Cybersicherheitsschwachstellen ausgewählt;
• der Abhilfeschritt beinhaltet das Beschaffen eines neuen Softwaremoduls oder einer neuen Hardwarekomponente, die zum Beheben der mindestens einen Cybersicherheitsschwachstelle konfiguriert ist und die auf mindestens einer der Vielzahl von zugehörigen bösartigen Aktionen basiert;
• der Abhilfeschritt beinhaltet weiterhin die Installation des neuen Softwaremoduls oder der neuen Hardwarekomponente in das Zielobjekt;
• der Abhilfeschritt beinhaltet das Installieren des neuen Softwaremoduls in das Zielobjekt, und worin der Abhilfeschritt ferner das Hochladen des Softwaremoduls über ein Festnetz und ein Mobilfunk-Trägersystem auf das Zielobjekt und anschließend das Durchführen des Installationsschritts beinhaltet;
• das Zielobjekt ist ein Fahrzeug und worin das Fahrzeug zum Empfangen des Softwaremoduls an einer Telematikeinheit konfiguriert ist, die in der Fahrzeugelektronik des Fahrzeugs integriert ist, und worin die Fahrzeugelektronik ferner ein oder mehrere Fahrzeugsystemmodule beinhaltet, in die das Softwaremodul installiert ist;
• das Mobilfunk-Trägersystem beinhaltet eine Vielzahl von Netzwerk-Hardwarekomponenten, die in der Lage sind, Funkübertragungen gemäß einem oder mehreren Mobilfunk-Kommunikationsprotokollen zu senden und zu empfangen;
• die eine oder die mehreren Ressourcenmetriken beinhalten: eine Kostenmetrik, die geschätzte oder ermittelte Kosten zur Durchführung der bösartigen Aktion darstellt; eine Ortsmetrik, die mit einem Ort verbunden ist, von dem aus die bösartige Aktion ausgeführt werden kann; eine Skalierbarkeitsmetrik, die mit einem Grad verbunden ist, in dem die bösartige Aktion auf zusätzlichen Systemen ohne neue Ressourcen ausgeführt werden kann; und eine Fähigkeitsmetrik, die mit einem Niveau an Fähigkeiten verbunden ist, das für einen bösartigen Angreifer zum Durchführen der bösartigen Aktion erforderlich ist;
• Der Schritt zum Erhalten der finalen Ressourcenmetrik beinhaltet das Erhalten einer finalen Kostenmetrik, einer finalen Ortsmetrik, einer finalen Skalierbarkeitsmetrik und einer finalen Fähigkeitsmetrik;
• wobei jeder der endgültigen Ressourcenmetriken ein numerischer Wert zugewiesen wird und worin der Berechnungsschritt ferner das Verwenden der numerischen Werte in der folgenden Formel beinhaltet, um die Prioritätsstufe der Cybersicherheitsschwachstelle zu erhalten: 100 × tanh(C × R_impact × R_cost × R_locality × R_scalability × R_skill), worin C für einen Wert ungleich Null steht, R_impact für die Auswirkungsmetrik steht, R_cost für die finale Kostenmetrik steht, R_locality für die endgültige Ortsmetrik steht, R_scalability für die endgültige Skalierbarkeitsmetrik steht und R_skill für die endgültige Fähigkeitsmetrik steht;
• worin die Auswirkungsmetrik auf einem Sicherheitsauswirkungsindikator, einem Datenempfindlichkeitsauswirkungsindikator und einem Gutwilligkeits-Auswirkungsindikator basiert; und/oder
• worin die Auswirkungsmetrik basierend auf der folgenden Gleichung bestimmt wird:
- Maximale (safety_impact, data sensitivity_impact, good_will_impact), worin R_impact für die Auswirkungsmetrik steht, safety_impact für den Sicherheitsauswirkungsindikator steht, data_sensitivity_impact für den Datenempfindlichkeitsauswirkungsindikator steht, und good_will_impact für den Gutwilligkeits-Auswirkungsindikator steht.

Gemäß einem weiteren Aspekt der Erfindung gibt es ein Verfahren zur Bewertung einer oder mehrerer Schwachstellen in der Cybersicherheit, um eine Prioritätskennzahl für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen, wobei das Verfahren Folgendes beinhaltet: Erstellen eines Angriffsschemas für die Cybersicherheit für jede einzelne oder mehrere Schwachstellen in der Cybersicherheit, worin das Angriffsschema für die Cybersicherheit verschiedene Möglichkeiten zum Aufdecken der Cybersicherheitsschwachstellen modelliert, worin das Angriffsschema für die Cybersicherheit eine Vielzahl von bösartigen Aktionen beinhaltet, die ausgeführt werden können, und worin das Aufdecken der Cybersicherheitsschwachstelle einen potenziell bösartigen Schaden an einem Zielobjekt ermöglicht; Erhalten, für jede der einen oder mehreren Cybersicherheits-Schwachstellen, einer oder mehrerer endgültiger Ressourcenmetriken, basierend auf der Bewertung jeder der einen oder mehreren Ressourcenmetriken; Erhalten, für jede der einen oder mehreren Cybersicherheits-Schwachstellen, einer Auswirkungsmetrik, die einen Schadensgrad angibt, der durch die Cybersicherheits-Schwachstelle verursacht werden kann; Berechnen einer Prioritätsstufe für jede der einen oder mehreren Cybersicherheits-Schwachstellen basierend auf der Auswirkungsmetrik und der einen oder mehreren endgültigen Ressourcenmetriken; und Erhalten eines neuen Softwaremoduls oder einer neuen Hardwarekomponente, die konfiguriert ist, um die mindestens eine Cybersicherheits-Schwachstelle zu beheben, und die auf mindestens einer der mehreren zugehörigen bösartigen Aktionen basiert.
Figurenliste
Eine oder mehrere Ausführungsformen der Erfindung werden im Folgenden in Verbindung mit den beigefügten Zeichnungen beschrieben, worin gleiche Bezeichnungen gleiche Elemente bezeichnen, und worin gilt:

1 ist ein Blockdiagramm, das eine Ausführungsform eines Kommunikationssystems darstellt, das in Verbindung mit dem hierin beschriebenen Verfahren verwendet werden kann;
2 ist ein Flussdiagramm, das ein Verfahren zur Bewertung einer oder mehrerer Cybersicherheitsschwachstellen veranschaulicht, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen;
3 ist ein Blockdiagramm, das verschiedene Ressourcenmetriken veranschaulicht, die in einer oder mehreren Ausführungsformen des hierin vorgesehenen Verfahrens verwendet werden können;
4 ist ein Flussdiagramm, das ein Verfahren zur Auswertung einer oder mehrerer Cybersicherheitsschwachstellen veranschaulicht, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen;
5 ist ein Flussdiagramm, das ein Verfahren zum Parsen durch ein Cybersicherheitsangriffsschema veranschaulicht, um die höchste Prioritätsstufe für eine gegebene Cybersicherheitsschwachstelle zu bestimmen; und
6 ist ein Blockdiagramm, das eine Ausführungsform eines Cybersicherheitsangriffsschemas veranschaulicht.

AUSFÜHRLICHE BESCHREIBUNG
Die im Folgenden beschriebenen Systeme und Verfahren ermöglichen die Priorisierung und Behebung von Cybersicherheitsschwachstellen, die bei bestimmten Computersystemen auftreten können. Die hierin behandelten Systeme und Verfahren können verwendet werden, um ein oder mehrere computergestützte Module und/oder elektrische Systeme (d. h. anvisierte Objekte oder Systeme) vor Diebstahl, Beschädigung oder anderen bösartigen Aktivitäten zu schützen. Das betroffene Objekt (d. h. das Modul oder System, das eine Cybersicherheitsschwachstelle aufweist) kann mehrere Cybersicherheitsschwachstellen aufweisen, die durch eine oder mehrere bösartige Aktionen eines böswilligen Akteurs aufgedeckt und/oder genutzt werden können. Gemäß zumindest einiger Ausführungsformen ermöglichen die hierin enthaltenen Systeme und Verfahren die Priorisierung der Cybersicherheitsschwachstellen eines betroffenen Objekts und können zum Beheben dieser Cybersicherheitsschwachstellen entsprechend ihrer jeweiligen Priorität beitragen.
Mit Bezug auf 1 ist eine Betriebsumgebung dargestellt, die ein Fahrzeugkommunikationssystem 10 umfasst, das verwendet werden kann, um zumindest einige der Schritte einer oder mehrerer Ausführungsformen des hierin offenbarten Verfahrens zu implementieren. Das Kommunikationssystem 10 beinhaltet im Allgemeinen ein Fahrzeug 12, ein oder mehrere Drahtlosträgersysteme 14, ein Festnetz 16, einen Computer 18 und ein Call-Center 20. Es versteht sich, dass das offenbarte Verfahren mit einer beliebigen Anzahl an unterschiedlichen Systemen verwendet werden kann und nicht speziell auf die hier gezeigte Betriebsumgebung eingeschränkt ist. Auch die Architektur, Konstruktion, Konfiguration und der Betrieb des Systems 10 und seiner einzelnen Komponenten sind in der Technik allgemein bekannt. Daher stellen die folgenden Absätze einfach eine Kurzübersicht eines solchen Kommunikationssystems 10 bereit; andere Systeme, die hier nicht gezeigt sind, könnten die offenbarten Verfahren jedoch auch einsetzen.
Fahrzeug 12 ist in der veranschaulichten Ausführungsform als ein Personenkraftwagen dargestellt, es versteht sich jedoch, dass jedes andere Fahrzeug einschließlich Motorräder, Lastwagen, Geländewagen (SUVs), Campingfahrzeuge (RVs), Seeschiffe, Flugzeuge usw. ebenfalls verwendet werden kann. Generell wird in 1 ein Teil der Fahrzeugelektronik 28 dargestellt, dazu gehören eine Telematikeinheit 30, ein Mikrofon 32, eine oder mehrere Tasten oder andere Steuereingänge 34, ein Audiosystem 36, eine optische Anzeige 38 und ein globales Satellitennavigationssystem (GNSS) Modul 40 sowie eine Anzahl von Fahrzeugsystemmodulen (VSMs) 42. Einige dieser Vorrichtungen können direkt mit der Telematikeinheit, wie z. B. dem Mikrofon 32 und der/den Taste(n) 34, verbunden sein, während andere indirekt unter Verwendung einer oder mehrerer Netzwerkverbindungen wie einem Kommunikationsbus 44 oder einem Entertainmentbus 46 verbunden sind. Beispiele geeigneter Netzwerkverbindungen beinhalten ein Controller Area Network (CAN), einen medienorientierten Systemtransfer (MOST), ein lokales Kopplungsstrukturnetzwerk (LIN), ein lokales Netzwerk (LAN) und andere geeignete Verbindungen, wie z. B. Ethernet oder andere, die u. a. den bekannten ISO-, SAE- und IEEE-Standards und -Spezifikationen entsprechen.
Die Telematikeinheit 30 kann eine OEM-installierte (eingebettete) oder eine Aftermarketvorrichtung sein, die in dem Fahrzeug installiert ist und drahtlose Sprach- und/oder Datenkommunikation über das Mobilfunkanbietersystem 14 und über drahtlose Vernetzung ermöglicht. Dies ermöglicht, dass das Fahrzeug mit Call-Center 20, anderen telematikfähigen Fahrzeugen oder einer anderen Entität oder Vorrichtung kommunizieren kann. Die Telematikeinheit verwendet vorzugsweise Funkübertragungen, um einen Kommunikationskanal (einen Sprachkanal und/oder einen Datenkanal) mit dem Drahtlosträgersystem 14 herzustellen, sodass Sprach- und/oder Datenübertragungen über den Kanal gesendet und erhalten werden können. Durch Bereitstellen von sowohl Sprach- als auch Datenkommunikation ermöglicht die Telematikeinheit 30, dass das Fahrzeug eine Anzahl an unterschiedlichen Diensten anbieten kann, die diejenigen beinhalten, die mit Navigation, Fernsprechen, Nothilfe, Diagnose, Infotainment usw., verbunden sind. Daten können entweder über eine Datenverbindung, wie Paketdatenübertragung über einen Datenkanal oder über einen Sprachkanal, unter Verwendung von auf dem Fachgebiet bekannten Techniken gesendet werden. Für kombinierte Dienste, die sowohl Sprachkommunikation (z. B. mit einem Live-Berater oder einer Sprachausgabeeinheit im Call-Center 20) als auch Datenkommunikation (z. B., um GNSS-Ortsdaten oder Fahrzeugdiagnosedaten an den Call-Center 20 bereitzustellen) einschließen, kann das System einen einzelnen Anruf über einen Sprachkanal verwenden und nach Bedarf zwischen Sprach- und Datenübertragung über den Sprachkanal umschalten, und dies kann unter Verwendung von Techniken erfolgen, die dem Fachmann bekannt sind.
Gemäß einer Ausführungsform verwendet die Telematikeinheit 30 Mobilfunkkommunikation gemäß entweder den GSM-, CDMA- oder LTE-Standards und beinhaltet daher einen Mobilfunkstandardchipsatz 50 für die Sprachkommunikation, wie Freisprechen, ein drahtloses Modem für die Datenübertragung, ein elektronisches Verarbeitungsgerät 52, eine oder mehrere Digitalspeichervorrichtungen 54 und eine Dual-Antenne 56. Es versteht sich, dass das Modem entweder durch Software implementiert sein kann, die in der Telematikeinheit gespeichert und durch den Prozessor 52 ausgeführt wird, oder es kann eine separate Hardwarekomponente sein, die sich innerhalb oder außerhalb der Telematikeinheit 30 befinden kann. Das Modem kann mithilfe einer beliebigen Anzahl unterschiedlicher Standards oder Protokolle, wie z. B. LTE, EVDO, CDMA, GPRS und EDGE, betrieben werden. Die drahtlose Vernetzung zwischen dem Fahrzeug und den anderen vernetzten Vorrichtungen kann auch unter Verwendung der Telematikeinheit 30 erfolgen. Für diesen Zweck kann die Telematikeinheit 30 gemäß einem oder mehreren drahtlosen Protokollen für eine drahtlose Kommunikation, einschließlich Kurzbereichs-Drahtloskommunikation (SRWC), wie beispielsweise eines der IEEE 802.11-Protokolle, WiMAX, ZigBee™, Wi-Fi direkt, Bluetooth™ (einschließlich Bluetooth™ Low Energy (BLE)) oder Nahfeldkommunikation (NFC), konfiguriert sein. Wenn die Telematikeinheit für paketvermittelte Datenkommunikation, wie TCP/IP, verwendet wird, kann sie mit einer statischen IP-Adresse dazu konfiguriert oder eingerichtet sein, automatisch eine zugewiesene IP-Adresse von einer anderen Vorrichtung am Netzwerk, wie einem Router oder einem Netzwerkadressenserver, zu erhalten.
Der Prozessor 52 kann jede Geräteart sein, die fähig ist elektronische Befehle zu verarbeiten, einschließlich Mikroprozessoren, Mikrocontrollern, Hostprozessoren, Steuerungen, Fahrzeugkommunikationsprozessoren und anwendungsspezifische integrierte Schaltungen (ASICs). Er kann ein speziell dafür vorgesehener Prozessor sein, der nur für die Telematikeinheit 30 verwendet wird, oder er kann mit anderen Fahrzeugsystemen geteilt werden. Der Prozessor 52 führt verschiedene Arten von digital gespeicherten Befehlen aus, wie Software oder Firmwareprogramme, die im Speicher 54 gespeichert sind, welche der Telematikeinheit ermöglichen, eine große Vielfalt von Diensten bereitzustellen. So kann beispielsweise der Prozessor 52 Programme ausführen oder Prozessdaten verarbeiten, um mindestens einen Teil des Verfahrens auszuführen, das hier beschrieben ist.
Die Telematikeinheit 30 kann verwendet werden, um eine vielfältige Palette von Fahrzeugdiensten bereitzustellen, die drahtlose Kommunikation zu und/oder vom Fahrzeug beinhalten. Zu diesen Diensten gehören: genaue Wegbeschreibungen und andere navigationsbezogene Dienste, die in Verbindung mit dem GNSS-basierten Navigationsmodul 40 des Fahrzeugs bereitgestellt werden; Airbag-Auslösemeldungen und andere mit Notruf oder Pannendienst verbundene Dienste, die in Verbindung mit einem oder mehreren Aufprallsensor(en), wie z. B. in einem Karosserie-Steuermodul (BCM) (nicht dargestellt), bereitgestellt werden; Diagnosemeldungen, die ein oder mehrere Diagnosemodul(e) verwenden sowie Infotainment-bezogene Dienste, bei denen Musik, Internetseiten, Filme, Fernsehprogramme, Videospiele und/oder andere Informationen von einem Infotainmentmodul (nicht dargestellt) heruntergeladen und für die aktuelle oder spätere Wiedergabe gespeichert werden. Die vorstehend aufgelisteten Dienste sind keineswegs eine vollständige Liste aller Fähigkeiten der Telematikeinheit 30, sondern sie sind einfach eine Aufzählung von einigen der Dienste, welche die Telematikeinheit anbieten kann. Des Weiteren versteht es sich, dass mindestens einige der vorstehend genannten Module in der Form von Softwarebefehlen implementiert sein könnten, die innerhalb oder außerhalb der Telematikeinheit 30 gespeichert sind, sie könnten Hardwarekomponenten sein, die sich innerhalb oder außerhalb der Telematikeinheit 30 befinden, oder sie könnten integriert sein und/oder miteinander oder mit anderen Systemen geteilt zu sein, die sich im Fahrzeug befinden, um nur einige Möglichkeiten zu nennen. Für den Fall, dass die Module als VSM 42 implementiert sind, die sich außerhalb der Telematikeinheit 30 befinden, könnten sie den Fahrzeugbus 44 verwenden, um Daten und Befehle mit der Telematikeinheit auszutauschen.
Das Motorsteuergerät (ECU) 48 kann verschiedene Aspekte des Motorbetriebs, wie beispielsweise Kraftstoffzündung und Zündzeitpunkt sowie das Bremsen. Das ECU 48 wird an den Kommunikationsbus 44 angeschlossen und kann Betriebsanweisungen von einem Bordnetzsteuergerät (BCM) (nicht dargestellt) oder anderen Fahrzeugsystemmodulen, wie beispielsweise der Telematikeinheit 30 oder VSMs 42, empfangen. Das ECU 48 kann beispielsweise einen Befehl vom BCM empfangen, das Fahrzeug zu starten-d. h. die Zündung des Fahrzeugs oder ein anderes primäres Antriebssystem (z. B. einen batteriebetriebenen Motor) auszulösen. In einem weiteren Szenario kann das ECU 48 vom BCM oder der Telematikeinheit 30 den Befehl erhalten, eine oder mehrere Bremsen des Fahrzeugs 12 zu betätigen.
Das globale Navigationssatellitensystem-(GNSS)-Modul 40 empfängt Funksignale von einer Konstellation 60 von GNSS-Satelliten. Von diesen Signalen kann das Modul 40 die Fahrzeugposition ermitteln, die verwendet wird, um Navigation und andere mit der Position verbundene Dienste an den Fahrzeugführer bereitzustellen. Navigationsinformationen können auf der Anzeige 38 (oder einer anderen Anzeige innerhalb des Fahrzeugs) dargestellt oder in verbaler Form präsentiert werden, wie es beispielsweise bei der Wegbeschreibungsnavigation der Fall ist. Die Navigationsdienste können von einem speziellen Navigationsmodul im Fahrzeug (das Teil des GNSS-Moduls 40 sein kann) bereitgestellt werden, oder einige oder alle Navigationsdienste werden von der Telematikeinheit 30 ausgeführt, wobei die Position an einen entfernten Standort geschickt wird, um im Gegenzug Navigationskarten, Kartenanmerkungen (Sehenswürdigkeiten, Restaurants usw.), Routenberechnungen und dergleichen für das Fahrzeug zu erhalten. Die Positionsinformationen können an das Call-Center 20 oder ein anderes Remotecomputersystem, wie Computer 18, für andere Zwecke, wie Flottenmanagement, bereitgestellt werden. Außerdem können neue oder aktualisierte Kartendaten zum GNSS-Modul 40 vom Call-Center 20 über die Telematikeinheit 30 heruntergeladen werden. Es können verschiedene Arten von Satellitensystemen verwendet werden, wie beispielsweise das globale Positioniersystem (GPS).
Abgesehen vom Audiosystem 36 und dem GNSS-Modul 40 kann das Fahrzeug 12 andere Fahrzeugsystemmodule (VSM) 42 in der Form von elektronischen Hardwarekomponenten beinhalten, die sich im Fahrzeug befinden und typischerweise eine Eingabe von einem oder mehreren Sensoren erhalten und die erfassten Eingaben verwenden, um Diagnose, Überwachung, Steuerung, Berichterstattung und/oder andere Funktionen auszuführen. Jedes der VSMs 42 ist vorzugsweise durch den Kommunikationsbus 44 mit den anderen VSM sowie der Telematikeinheit 30 verbunden und kann darauf programmiert sein, Fahrzeugsystem- und Subsystemdiagnosetests auszuführen. So kann beispielsweise ein VSM 42 ein Motorsteuergerät (ECM) sein, das verschiedene Aspekte des Motorbetriebs, wie z. B. Kraftstoffzündung und Zündzeitpunkt, steuert, ein weiteres VSM 42 kann ein Antriebsstrangsteuermodul sein, das den Betrieb von einer oder mehreren Komponenten des Fahrzeugantriebsstrangs reguliert, und ein weiteres VSM 42 kann ein Chassis-Steuermodul sein, das verschiedene im Fahrzeug befindliche elektrische Komponente, wie beispielsweise die Zentralverriegelung des Fahrzeugs und die Scheinwerfer, verwaltet. Gemäß einer Ausführungsform ist das Motorsteuergerät mit integrierten Diagnose (OBD)-Funktionen ausgestattet, die unzählige Echtzeitdaten, wie z. B. die von verschiedenen Sensoren, einschließlich Fahrzeugemissionssensoren, erhaltenen Daten bereitstellen und eine standardisierte Reihe von Diagnosefehlercodes (DTCs) liefern, die einem Techniker ermöglichen, Fehlfunktionen innerhalb des Fahrzeugs schnell zu identifizieren und zu beheben. Fachleute auf dem Fachgebiet werden erkennen, dass es sich bei den vorgenannten VSMs nur um Beispiele von einigen der Module handelt, die im Fahrzeug 12 verwendet werden können, zahlreiche andere Module jedoch ebenfalls möglich sind.
Die Fahrzeugelektronik 28 beinhaltet auch eine Anzahl an Fahrzeugbenutzeroberflächen, die Fahrzeuginsassen mit einem Mittel zum Bereitstellen und/oder Empfangen von Informationen ausstattet, einschließlich Mikrofon 32, Taste(n) 34, Audiosystem 36 und optischer Anzeige 38. Wie hier verwendet, beinhaltet der Begriff „Fahrzeugbenutzeroberfläche“ weitgehend jede geeignete Form von elektronischer Vorrichtung, die sowohl die im Fahrzeug befindlichen Hardware- als auch Softwarekomponenten beinhaltet und einem Fahrzeugbenutzer ermöglicht, mit einer oder durch eine Komponente des Fahrzeugs zu kommunizieren. Das Mikrofon 32 stellt eine Audioeingabe an die Telematikeinheit bereit, um dem Fahrer oder anderen Insassen zu ermöglichen, Sprachsteuerungen bereitzustellen und Freisprechen über das Drahtlosträgersystem 14 auszuführen. Für diesen Zweck kann es mit einer integrierten automatischen Sprachverarbeitungseinheit verbunden sein, welche die unter Fachleuten auf dem Gebiet bekannte Mensch-Maschinen-Schnittstellen (HMI)-Technologie verwendet. Die Taste(n) 34 ermöglichen eine manuelle Benutzereingabe in die Telematikeinheit 30, um drahtlose Telefonanrufe zu initiieren und andere Daten, Antworten oder eine Steuereingabe bereitzustellen. Separate Tasten können zum Initiieren von Notrufen gegenüber regulären Dienstunterstützungsanrufen beim Call-Center 20 verwendet werden. Das Audiosystem 36 stellt eine Audioausgabe an einen Fahrzeuginsassen bereit und kann ein zugehöriges selbstständiges System oder Teil des primären Fahrzeugaudiosystems sein. Gemäß der bestimmten Ausführungsform, die hier gezeigt ist, ist das Audiosystem 36 operativ sowohl mit dem Fahrzeugbus 44 als auch mit dem Entertainmentbus 46 gekoppelt und kann AM-, FM- und Satellitenradio, CD-, DVD- und andere Multimediafunktionalität bereitstellen. Diese Funktionalität kann in Verbindung mit dem vorstehend beschriebenen Infotainmentmodul oder davon unabhängig bereitgestellt werden. Die optische Anzeige 38 ist vorzugsweise eine Grafikanzeige, wie z. B. ein Touchscreen am Armaturenbrett oder eine Warnanzeige, die von der Frontscheibe reflektiert wird, und verwendet werden kann, um eine Vielzahl von Eingabe- und Ausgabefunktionen bereitzustellen. Verschiedene andere Fahrzeugbenutzeroberflächen können ebenfalls verwendet werden, denn die Schnittstellen von 1 dienen lediglich als Beispiel für eine bestimmte Implementierung.
Das Mobilfunkanbietersystem 14 ist bevorzugt ein Smartphonesystem, das mehrere Mobilfunkmaste 70 (nur einer gezeigt), eine oder mehrere mobile Vermittlungszentrale Einrichtung (MSC) 72 sowie irgendwelche anderen Netzwerkkomponenten umfasst, die erforderlich sind, um das Mobilfunkanbietersystem 14 mit dem Festnetz 16 zu verbinden. Jeder Mobilfunkturm 70 beinhaltet Sende- und Empfangsantennen und eine Basisstation, wobei die Basisstationen von unterschiedlichen Mobilfunktürmen mit der MSC 72 entweder direkt oder über zwischengeschaltete Geräte, wie z. B. eine Basisstationssteuereinheit, verbunden sind. Das Mobilfunksystem 14 kann jede geeignete Kommunikationstechnik implementieren, einschließlich beispielsweise analoge Technologien, wie AMPS, oder die neueren Digitaltechnologien, wie CDMA (z. B. CDMA2000) oder GSM/GPRS. Der Fachmann wird erkennen, dass verschiedene Zellenturm-/Basisstation/MSC-Anordnungen möglich sind und mit dem drahtlosen System 14 verwendet werden könnten. So könnten sich beispielsweise Basisstation und Zellentürme an derselben Stelle oder entfernt voneinander befinden, jede Basisstation könnte für einen einzelnen Zellenturm zuständig sein oder eine einzelne Basisstation könnte verschiedene Zellentürme bedienen und verschiedene Basisstationen könnten mit einer einzigen MSC gekoppelt werden, um nur einige der möglichen Anordnungen zu nennen.
Abgesehen vom Verwenden des Drahtlosträgersystems 14 kann ein unterschiedliches Drahtlosträgersystem in der Form von Satellitenkommunikation verwendet werden, um unidirektionale oder bidirektionale Kommunikation mit dem Fahrzeug bereitzustellen. Dies kann unter Verwendung von einem oder mehreren Fernmeldesatelliten 62 und einer aufwärtsgerichteten Sendestation 64 erfolgen. Bei der unidirektionalen Kommunikation kann es sich beispielsweise um Satellitenradiodienste handeln, worin programmierte Inhaltsdaten (Nachrichten, Musik usw.) von der Sendestation 64 erhalten werden, für das Hochladen gepackt und anschließend zum Satelliten 62 gesendet werden, der die Programmierung an die Teilnehmer sendet. Bidirektionale Kommunikation kann beispielsweise Satellitentelefoniedienste unter Verwendung der Satelliten 62 sein, um Telefonkommunikationen zwischen dem Fahrzeug 12 und der Station 64 weiterzugeben. Bei Verwendung kann dieses Satellitenfernsprechen entweder zusätzlich zum oder anstatt des Drahtlosträgersystems 14 verwendet werden.
Das Festnetz 16 kann ein konventionelles landgebundenes Telekommunikationsnetzwerk sein, das mit einem oder mehreren Festnetztelefonen verbunden ist und das Drahtlosträgersystem 14 mit dem Call-Center 20 verbindet. So kann beispielsweise das Festnetz 16 ein Fernsprechnetz (PSTN) wie jenes sein, das verwendet wird, um festverdrahtetes Fernsprechen, paketvermittelte Datenkommunikationen und die Internetinfrastruktur bereitzustellen. Ein oder mehrere Segmente des Festnetzes 16 könnten durch Verwenden eines normalen drahtgebundenen Netzwerks, eines Lichtleiter- oder eines anderen optischen Netzwerks, eines Kabelnetzes, von Stromleitungen, anderen drahtlosen Netzwerken, wie drahtlose lokale Netzwerke (WLANs) oder Netzwerke, die drahtlosen Breitbandzugang (BWA) bereitstellen oder jeder Kombination davon, implementiert sein. Des Weiteren muss das Call-Center 20 nicht über das Festnetz 16 verbunden sein, sondern könnte Funktelefonieausrüstung beinhalten, sodass direkt mit einem drahtlosen Netzwerk, wie dem Drahtlosträgersystem 14, kommuniziert werden kann.
Der Computer 18 kann einer von einer Anzahl an Computern sein, die über ein privates oder öffentliches Netzwerk, wie das Internet, zugänglich sind. Jeder dieser Computer 18 kann für einen oder mehrere Zwecke, wie einen Webserver verwendet werden, der vom Fahrzeug über die Telematikeinheit 30 und das Drahtlosträgersystem 14 zugänglich ist. Andere derartige zugängliche Computer 18 können beispielsweise sein: ein Kundendienstzentrumcomputer, wo Diagnoseinformationen und andere Fahrzeugdaten vom Fahrzeug über die Telematikeinheit 30 hochgeladen werden können; ein Clientcomputer, der vom Fahrzeugbesitzer oder einem anderen Teilnehmer für solche Zwecke, wie das Zugreifen auf oder das Erhalten von Fahrzeugdaten oder zum Einstellen oder Konfigurieren von Teilnehmerpräferenzen oder Steuern von Fahrzeugfunktionen, verwendet wird; oder ein Drittparteispeicherort, zu dem oder von dem Fahrzeugdaten oder andere Informationen entweder durch Kommunizieren mit dem Fahrzeug 12 oder dem Call-Center 20 oder beiden bereitgestellt werden. Ein Computer 18 kann auch für das Bereitstellen von Internetkonnektivität, wie DNS-Dienste oder als ein Netzwerkadressenserver, verwendet werden, der DHCP oder ein anderes geeignetes Protokoll verwendet, um dem Fahrzeug 12 eine IP-Adresse zuzuweisen.
Das Call-Center 20 ist konzipiert, die Fahrzeugelektronik 28 mit einer Anzahl an unterschiedlichen System-Back-End-Funktionen bereitzustellen, und beinhaltet nach dem hier gezeigten Ausführungsbeispiel im Allgemeinen einen oder mehrere Schalter 80, Server 82, Datenbanken 84, Live-Berater 86 sowie ein automatisiertes Sprachausgabesystem (VRS) 88, die alle auf dem Fachgebiet bekannt sind. Diese verschiedenen Komponenten des Call-Centers sind vorzugsweise miteinander über ein verdrahtetes oder drahtloses lokales Netzwerk 90 gekoppelt. Der Switch 80, der ein Nebenstellenanlagen (PBX)-Switch sein kann, leitet eingehende Signale weiter, sodass Sprachübertragungen gewöhnlich entweder zum Live-Berater 86 über das reguläre Telefon oder automatisiert zum Sprachdialogsystem 88 unter Verwendung von VoIP gesendet werden. Das Live-Berater-Telefon kann auch VoIP verwenden, wie durch die gestrichelte Linie in 1 angezeigt. VoIP und andere Datenkommunikation durch den Switch 80 werden über ein Modem (nicht gezeigt) implementiert, das zwischen dem Switch 80 und Netzwerk 90 verbunden ist. Datenübertragungen werden über das Modem an den Server 82 und/oder die Datenbank 84 weitergegeben. Die Datenbank 84 kann Kontoinformationen, wie beispielsweise Teilnehmerauthentifizierungsinformationen, Fahrzeugidentifikatoren, Profilaufzeichnungen, Verhaltensmuster und andere relevante Teilnehmerinformationen sowie Informationen zu einer Vielzahl von Cybersicherheitsschwachstellen, wie beispielsweise Prioritätsstufen für Cybersicherheitsschwachstellen, Angriffsschemata für Cybersicherheitsschwachstellen und Ressourcenmetriken für verschiedene zugehörige bösartige Aktionen, speichern. Datenübertragungen können zudem durch drahtlose Systeme, wie z. B. 802.11x, GPRS und dergleichen, erfolgen. Obwohl die veranschaulichte Ausführungsform beschrieben wurde, als ob sie in Verbindung mit einem bemannten Call-Center 20 verwendet werden würde, das den Live-Berater 86 einsetzt, ist es offensichtlich, dass das Call-Center stattdessen VRS 88 als einen automatisierten Berater verwenden kann, oder eine Kombination von VRS 88 und dem Live-Berater 86 verwendet werden kann.
Das Fahrzeug 12 kann auch drahtlos über Kurzstrecken-Funkkommunikation (SRWC) wie die vorgenannten Protokolle IEEE 802.11 oder Bluetooth™ mit der mobilen Vorrichtung 96 oder einem Schlüsselanhänger mit passiver Zugangstechnologie oder einem anderen Schlüssel, hierin als passiver Zugangsschlüssel (PEK) 98 bezeichnet, kommunizieren. Das PEK 98 kann einen Körper umfassen, der ein einen oder mehrere Schalter oder Tasten für die Benutzerinteraktion beinhaltet; weiterhin kann das Gehäuse einen Prozessor, Speicher und einen drahtlosen Sender für die SRWC tragen. Wie von Fachleuten anerkannt, kann der PEK-Speicher einen kryptographischen Schlüssel speichern und übertragen, der für die PEK-Validierung am Fahrzeug verwendet wird. Einige Funktionen des PEK 98 mit dem Fahrzeug 12 können passiv sein (z. B. keine manuelle Eingabe durch den Benutzer erforderlich), wie das Entriegeln der Fahrzeugtüren, wenn sich der PEK in der Nähe des Fahrzeugs befindet, während andere Funktionen eine aktive Eingabe erfordern, wie beispielsweise ein Tastendruck auf das PEK 98, um zum Beispiel einen Kofferraum des Fahrzeugs zu entriegeln. In jedem Fall kann die Übertragung eines Funksignals, das den kryptographischen Schlüssel beinhaltet, eine oder mehrere der Fahrzeugfunktionen, wie beispielsweise das Verriegeln und Entriegeln von Türen, das Starten des Fahrzeugs, das Bedienen einer Fahrzeugalarmanlage, das Bedienen einer Kofferraumfreigabe usw., auslösen oder steuern.
Die mobile Vorrichtung 96 kann beinhalten: Hardware, Software und/oder Firmware, die Mobilfunktelekommunikation und SRWC sowie andere Mobilgeräteanwendungen ermöglichen. Die Hardware der mobilen Vorrichtung 96 kann Folgendes umfassen: einen Prozessor und einen Speicher (z. B. ein nicht-flüchtiges, computerlesbares Medium, das für den Betrieb mit dem Prozessor konfiguriert ist) zum Speichern der Software, Firmware usw. Die mobile Vorrichtung und der Speicher können verschiedene Softwareanwendungen ermöglichen, die vom Benutzer (oder Hersteller) vorinstalliert oder installiert werden können (z. B. mit einer Softwareanwendung oder grafischen Benutzeroberfläche oder GUI). Eine Implementierung einer Fahrzeugmobilgerätanwendung kann einem Fahrzeugbenutzer ermöglichen, mit dem Fahrzeug 12 zu kommunizieren und/oder verschiedene Aspekte oder Funktionen des Fahrzeugs zu steuern - z. B. unter anderem dem Benutzer zu erlauben, die Fahrzeugtüren entfernt zu verriegeln/entriegeln, die Fahrzeugzündung ein- oder auszuschalten, die Fahrzeugreifenrücke, den Kraftstoffstand, die Öllebensdauer usw. zu überprüfen. In einigen Ausführungsformen kann die mobile Vorrichtung 96 als passiver Eingabeschlüssel dienen, wie das vorstehend beschriebene PEK 98. Außerdem kann die Anwendung dem Benutzer auch ermöglichen, sich mit dem Call-Center 20 oder den Call-Center-Beratern zu irgendeinem Zeitpunkt zu verbinden.
Unter Bezugnahme nun auf 2 ist ein Verfahren 200 zur Auswertung einer Cybersicherheitsschwachstelle zur Festlegung einer Prioritätsmetrik für die Cybersicherheitsschwachstelle dargestellt. Das Verfahren 200 kann als Teil des Verfahrens 400 (4) verwendet werden, das eine Ausführungsform zur Auswertung einer oder mehrerer Cybersicherheitsschwachstellen darstellt, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen.
Das Verfahren 200 beginnt mit Schritt 210, wobei ein Cybersicherheitsangriffsschema erstellt wird. Das Cybersicherheitsangriffsschema modelliert verschiedene Möglichkeiten, die Cybersicherheitsschwachstelle aufzudecken und beinhaltet eine Vielzahl von bösartigen Handlungen, die ausgeführt werden können. Wie hierin verwendet, ist eine bösartige Handlung jede Handlung oder jedes Verhalten, das als Teil der Aufdeckung oder Nutzung einer Cybersicherheitsschwachstelle durchgeführt wird oder werden kann. In einer Ausführungsform kann das Cybersicherheitsangriffsschema verschiedene Möglichkeiten zum Aufdecken der Cybersicherheitsschwachstelle modellieren, indem es die verschiedenen bösartigen Handlungen und deren Zusammenhänge darstellt. Gemäß vielen Ausführungsformen ermöglicht das Aufdecken einer Cybersicherheitsschwachstelle einen möglichen bösartigen Schaden am betroffenen Objekt.
Das Cybersicherheitsangriffsschema kann mit verschiedenen Systemen und/oder Modellierungsdiagrammen erstellt werden. So kann beispielsweise zur Entwicklung des Angriffsschemas ein Computer 18 oder Server 82 verwendet werden. Das Schema kann mit verschiedenen Softwareanwendungen (z. B. Microsoft Word™, Microsoft PowerPoint™, Microsoft Visio™, AutoCAD™ oder anderer CAD-Software) modelliert und basierend auf Informationen, die in einer oder mehreren Datenbanken 84 gespeichert sind, automatisch erzeugt werden. Oder das Schema kann manuell durch einen Benutzer modelliert werden, der Eingaben in eine oder mehrere Softwareanwendungen mit dem Computer 18 oder Server 82 vornimmt. In einigen Ausführungsformen kann der Konstruktionsschritt des Cybersicherheitsangriffsschemas das Empfangen von Benutzermodellierungseingaben beinhalten, worin die Benutzermodellierungseingaben von einem Benutzer eingegeben werden, der eine Softwareanwendung anweist, ein bestimmtes Element des Schemas zu konstruieren, wie beispielsweise eine bösartige Handlung oder einen Stecker. Nachdem das Cybersicherheitsangriffsschema erstellt wurde, kann das Cybersicherheitsangriffsschema auf einem computerlesbaren Speicher, wie beispielsweise einem nicht flüchtigen, computerlesbaren Speicher, gespeichert werden.
Unter Bezugnahme auf 6 wird eine veranschaulichende Ausführungsform eines Cybersicherheitsangriffsschemas 600 dargestellt, das für die Auswertung einer Cybersicherheitsschwachstelle erstellt werden kann, die eine böswillige Auslösung einer Bremsfunktion eines Fahrzeugs verursachen kann. Die Cybersicherheitsschwachstelle (z. B. böswillige Auslösung einer Bremsfunktion eines Fahrzeugs) des Angriffsschemas 600 wird durch den Block 610 dargestellt. Die Steckverbinder 620 und 630 stellen logische Steckverbinder dar, die verwendet werden, um Beziehungen zwischen den bösartigen Handlungen 625, 635, 640 und 645 darzustellen.
Der Steckverbinder 630 ist eine Logik „ODER“ ein Steckverbinder (oder ein Gate) und wird verwendet, um darzustellen, dass mindestens eine der zugehörigen bösartigen Handlungen 635, 640 oder 645 ausgeführt werden muss, um die Cybersicherheitsschwachstelle aufzudecken. Der Steckverbinder 630 wird in den Steckverbinder 620 eingeführt (d. h. als Eingang), der eine Logik ist „UND“ ein Steckverbinder (oder ein Gate), der verwendet wird, um darzustellen, dass alle damit verbundenen bösartigen Handlungen ausgeführt werden müssen, um die Cybersicherheitsschwachstelle aufzudecken. Folglich liest die Darstellung des Angriffsschemas von 6 die Notwendigkeit einer bösartigen Handlung 625 zusammen mit einer der bösartigen Handlungen 635, 640 oder 645 zum Aufdecken der Cybersicherheitsschwachstelle 610. Wie im Folgenden näher erläutert wird, kann jede der bösartigen Handlungen eine oder mehrere zugehörige Ressourcenmetriken beinhalten, die in Verbindung mit dem Cybersicherheitsangriffsschema verwendet werden können, um eine oder mehrere entsprechende endgültige Ressourcenmetriken zu erhalten. Diese endgültigen Ressourcenmetriken können dann mit einer Auswirkungsmetrik verwendet werden, um eine allgemeine Prioritätsmetrik für die Cybersicherheit zu erhalten, wie im Folgenden näher erläutert wird.
Unter Bezugnahme zurück auf 2, fährt das Verfahren 200 nach dem Erstellen eines Cybersicherheitsangriffsschemas mit Schritt 220 fort. In Schritt 220 wird eine Auswirkungsmetrik für die Cybersicherheitsschwachstelle erhalten. Wie hierin verwendet, ist eine Auswirkungsmetrik eine Metrik, die einen Schädigungsgrad angibt oder anderweitig mit einem Schaden verbunden ist, der durch die Cybersicherheitsschwachstelle verursacht werden kann. Die Auswirkungsmetrik kann über den Computer 18 oder einen Server 82 über Benutzereingaben oder über den Abruf von Informationen aus den Datenbanken 84 erhalten werden.
In einer Ausführungsform kann die Auswirkungsmetrik auf einem Sicherheitsindikator, einem Datenempfindlichkeitsindikator und/oder einem GutwilligkeitsIndikator beruhen. Der Sicherheitsindikator kann eine potenzielle oder wahrscheinliche Auswirkung auf einen Kunden oder einen Benutzer des Produkts oder der Vorrichtung repräsentieren, auf die sich die Cybersicherheitsschwachstelle bezieht. So kann beispielsweise in einem Fall, in dem sich die Cybersicherheitsschwachstelle auf eine böswillige Betätigung einer Fahrzeugbremsvorrichtung bezieht (wie im Beispiel des Angriffsschemas 600 von 6 dargestellt), ein Sicherheitsindikator auf 5 als Teil einer Skala von 0 bis 5 eingestellt werden (wobei 0 keine Auswirkung auf die Sicherheit und 5 eine starke Auswirkung auf die Sicherheit anzeigt), was anzeigt, dass ein Kunde oder Benutzer eines Fahrzeugs 12, dessen Bremsen böswillig betätigt wurden, in große Gefahr gebracht werden kann. In einer Ausführungsform können die verschiedenen möglichen Sicherheitsindikatorstufen (z.B. 0 bis 5) mit einem Sicherheitsintegritätslevel (ASIL) (ISO 26262) verknüpft werden.
Diese Indikatoren können durch Abrufen bestimmter Daten aus einer Datenbank 84 oder durch Eingabe eines Benutzers auf dem Server 82 oder Computer 18 erhalten werden. In einer Ausführungsform können ein oder mehrere automatisierte Software- oder Firmware-Tests durchgeführt werden, um einen oder mehrere Indikatoren zu erhalten, die zum Erhalten einer Auswirkungsmetrik verwendet werden können. So können beispielsweise Fahrzeugmodul-Software/Firmware-Tests mit einem oder mehreren Fahrzeugsystemmodulen 42 am Fahrzeug 12 durchgeführt werden. Oder, in weiteren Ausführungsformen, kann die VSM-Software/Firmware mit einer virtuellen Fahrzeugumgebung auf dem Server 82 und/oder Computer 18 getestet werden. Nachdem diese Indikatoren erhalten wurden, können sie kombiniert und/oder ausgewertet werden, um die Auswirkungsmetrik zu erhalten. In einer Ausführungsform kann der Maximalwert der Indikatoren als Auswirkungsmetrik verwendet werden. Wenn beispielsweise ein Sicherheitsauswirkungsindikator, ein Datenempfindlichkeitsauswirkungsindikator und ein Gutwilligkeits-Auswirkungsindikator verwendet werden, kann die Auswirkungsmetrik als das Maximum dieser Werte bestimmt werden- z. B. R_impact = Maximum von (safety_impact, data_sensitivity_impact good_will_impact), worin R_impact für die Auswirkungsmetrik steht, safety_impact für den Sicherheitsauswirkungsindikator steht, data sensitivity_impact für den Datenempfindlichkeitsauswirkungsindikator steht, und good_will_impact für den Gutwilligkeitsindikator steht. Wenn somit der Sicherheitsauswirkungsindikator 4 ist, der Datenempfindlichkeitsauswirkungsindikator 2 ist und der Gutwilligkeitsauswirkungsindikator 3 ist, dann wird die Auswirkungsmetrik auf 4 festgelegt, da 4 das Maximum der (safety_impact, data_sensitivity_impact, good_will_impact) ist. In weiteren Ausführungsformen kann mehr als eine Auswirkungsmetrik erreicht werden. Das Verfahren 200 fährt mit Schritt 230 fort.
In Schritt 230 wird mindestens eine Ressourcenmetrik für jede der Vielzahl von böswilligen Handlungen der Cybersicherheitsschwachstelle ermittelt. Wie hierin verwendet, ist eine Ressourcenmetrik eine Metrik, die mit einer Ressource verknüpft ist, die zum Erreichen der zugehörigen böswilligen Handlung erforderlich ist oder die mit der Verfügbarkeit oder Erweiterbarkeit der böswilligen Handlung verbunden ist. Unter Bezugnahme auf 3 wird eine Ausführungsform 300 von vier Ressourcenmetriken 310-340 dargestellt: Kostenmetrik 310, Ortsmetrik 320, Skalierbarkeitsmetrik 330 und Fähigkeitsmetrik 340.
Die Kostenmetrik 310 kann geschätzte oder ermittelte Kosten zur Durchführung der böswilligen Handlung darstellen. So kann beispielsweise die böswillige Handlung verschiedene Computerhardware und/oder -software erfordern, damit die böswillige Handlung ausgeführt werden kann. Die Kosten einer derartigen Computerhardware und/oder -software können zum Ermitteln der Kostenmetrik verwendet werden, die beispielsweise durch Zuordnen eines bestimmten Kostenmetrik-Werts zu einem bestimmten Kostenbereich dargestellt werden kann - zum Beispiel: Der Kostenmetrik-Wert „1“ ist mit Kosten von mehr als 10 Mio. $ verbunden; der Kostenmetrik-Wert „2“ ist mit Kosten zwischen 1 Mio. $ und 10 Mio. $ verbunden; der Kostenmetrik-Wert „3“ ist mit Kosten zwischen 100.000 $ und 1 Mio. $ verbunden; der Kostenmetrik-Wert „4“ ist mit Kosten zwischen 10.000 $ und 100.000 $ verbunden; der Kostenmetrik-Wert „5“ ist mit Kosten zwischen 0 $ und 10.000 $ verbunden.
Die Ortsmetrik 320 kann einem Ort zugeordnet werden, von dem aus die böswillige Handlung ausgeführt werden kann. So kann beispielsweise die böswillige Handlung einen internen physischen Zugriff auf eine bestimmte Hardwarekomponente des Systems erfordern, deren Cybersicherheitsschwachstelle aufgedeckt wird. Oder in anderen Szenarien ist es möglich, die böswillige Handlung über eine drahtlose Kommunikation mit hoher Reichweite durchzuführen. Jeder dieser verschiedenen möglichen Orte kann zum Ermitteln der Ortsmetrik verwendet werden, die in eine Anzahl von Behältern sortiert werden kann, die einem Ort zugeordnet sind, an dem die böswillige Handlung ausgeführt werden kann.
Die Skalierbarkeitsmetrik 330 kann mit einem Maß verbunden sein, bis zu dem die böswillige Handlung auf weiteren Systemen ohne neue Ressourcen durchgeführt werden kann. Wenn beispielsweise ein physischer Zugriff durch eine böswillige Handlung erforderlich ist, kann die Skalierbarkeitsmetrik niedrig sein (z. B. eine 1 auf einer Skala von 1 bis 5), wodurch angezeigt wird, dass die gesamte böswillige Handlung für jedes anvisierte Objekt ausgeführt werden muss (d. h. für jedes anvisierte Objekt, dessen Cybersicherheitsschwachstelle von dem böswilligen Handlungsträger entdeckt werden soll). In anderen Fällen kann ein böswilliger Vorgang sehr skalierbar sein und somit eine hohe Skalierbarkeitsmetrik aufweisen (z. B. eine 5 auf einer Skala von 1 bis 5). Ein Beispiel für eine hochgradig skalierbare böswillige Handlung können diejenigen sein, die über ein schädliches Computerprogramm ausgeführt werden und bei denen das schädliche Computerprogramm nicht neu geschrieben oder geändert werden muss, um nachfolgende böswillige Handlungen an anderen anvisierten Objekten auszuführen.
Die Fähigkeitsmetrik 340 kann mit einer Fähigkeitsstufe in Zusammenhang gebracht werden, die ein böswilliger Angreifer benötigt, um die böswillige Handlung auszuführen. Eine böswillige Handlung benötigt keine besonderen Fähigkeiten oder Informationen, wobei in einem derartigen Fall eine Fähigkeitsmetrik von hohem Wert für die böswillige Handlung zugewiesen oder bestimmt werden kann. Alternativ kann die böswillige Handlung einen ganz bestimmten Komplex von Fähigkeiten oder bestimmte vertrauliche Informationen erfordern, wobei in einem derartigen Fall eine Fähigkeitsmetrik von geringem Wert für die böswillige Handlung zugewiesen oder bestimmt werden kann. Das Verfahren 200 fährt mit Schritt 240 fort.
In Schritt 240 werden eine oder mehrere endgültige Ressourcenmetriken erhalten. Wie bereits in Schritt 230 erwähnt, kann eine einzelne oder eine Reihe von Ressourcenmetriken verwendet werden, und auch jede böswillige Handlung kann eine oder mehrere zugehörige Ressourcenmetriken aufweisen. Ein Endwert für jede der Ressourcenmetriken kann anschließend gemäß einem oder mehreren Verfahren oder Prozessen bestimmt werden, von denen eine in 5 aufgeführt ist, die im Folgenden näher erläutert wird. Die endgültigen Ressourcenmetriken sind die Ressourcenmetriken, die als endgültige Darstellung für eine bestimmte Cybersicherheitsschwachstelle basierend auf den individuellen Ressourcenmetriken der böswilligen Handlungen, aus denen die jeweilige Cybersicherheitsschwachstelle besteht, bestimmt sind. In einer Ausführungsform werden eine endgültige Kostenmetrik, eine endgültige Ortsmetrik, eine endgültige Skalierbarkeitsmetrik und eine endgültige Fähigkeitsmetrik erhalten, die auf der Auswertung jeder der Kostenmetriken, Ortsmetriken, Skalierbarkeitsmetriken und Fähigkeitsmetriken der zugehörigen böswilligen Handlungen beruhen. So können beispielsweise unter Bezugnahme auf 6 die Ressourcenmetriken für jede der böswilligen Handlungen 325, 335, 340 und 345 verwendet werden, um die endgültige(n) Ressourcenmetrik(en) für die Cybersicherheitsschwachstelle 600 (oder die böswilligen Ziele 610) zu bestimmen.
In einigen Ausführungsformen kann ein Computer 18 oder Server 82 verwendet werden, um die endgültigen Ressourcenmetriken zu berechnen oder zu bestimmen. So kann beispielsweise ein Server 82 eine Datenbank 84 auf die Ressourcenmetriken abfragen, die mit jeder der böswilligen Handlungen verbunden sind, welche die Cybersicherheitsschwachstelle ausmachen. Danach kann ein Prozessor des Servers 82 Computeranweisungen ausführen, welche die endgültige(n) Ressourcenmetrik(en) basierend auf den abgerufenen Ressourcenmetriken bestimmen. Die endgültige(n) Ressourcenmetrik(en) kann/können dann im Speicher gespeichert werden, wie beispielsweise in einem nicht flüchtigen, computerlesbaren Speicher. Das Verfahren 200 fährt mit Schritt 250 fort.
In Schritt 250 wird eine Cybersicherheits-Prioritätsstufe basierend auf der Auswirkungsmetrik und der/den endgültigen Ressourcenmetrik(en) berechnet. So kann beispielsweise die Cybersicherheits-Prioritätsstufe auf der endgültigen Kostenmetrik, der endgültigen Ortsmetrik, der endgültigen Skalierbarkeitsmetrik und der endgültigen Fähigkeitsmetrik beruhen. Die Cybersicherheits-Prioritätsstufe kann ein Wert sein, der eine Größenordnung des wahrscheinlichen Schadensausmaßes darstellt und in Bezug auf andere Cybersicherheitsschwachstellen berechnet werden kann.
In einer Ausführungsform kann die Punktzahl basierend auf einer bestimmten Formel berechnet werden, wie zum Beispiel: 100 × tanh(C × R_impact × R_cost × R_locality × R_scalability × R_skill), worin C für eine Konstante steht, R_impact für die Auswirkungsmetrik steht, R_cost für die finale Kostenmetrik steht, R_locality für die endgültige Ortsmetrik steht, R_scalability für die endgültige Skalierbarkeitsmetrik steht und R_skill für die endgültige Fähigkeitsmetrik steht. Wie hierin verwendet, bezieht sich „tanh“ auf die hyperbolische Tangensfunktion. Die Konstante C kann ein Wert ungleich Null sein und gemäß einer bestimmten Ausführungsform ein beliebiger Wert größer als 0 und kleiner oder gleich 0,01 (0 < C ≤ 0,01) sein. In weiteren Ausführungsformen können verschiedene andere Formeln oder Verfahren zum Berechnen der Cybersicherheits-Prioritätsstufe verwendet werden. In einigen Ausführungsformen kann ein Prozessor des Computers 18 oder des Servers 82 die Cybersicherheits-Prioritätsstufe berechnen. Wie im Folgenden ausführlicher beschrieben wird, kann, nachdem die Cybersicherheits-Prioritätsstufe für eine bestimmte Cybersicherheitsschwachstelle festgelegt wurde, entschieden werden, ob die Cybersicherheitsschwachstelle angegangen werden sollte. Das nachstehend beschriebene Verfahren 400 von 4 beschreibt zahlreiche Ausführungsformen zur Durchführung dieser Bestimmung. Das Verfahren 200 endet dann.
Unter Bezugnahme auf 4 wird eine Ausführungsform eines Verfahrens 400 zur Auswertung einer oder mehrerer Cybersicherheitsschwachstellen darstellt, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen. Das Verfahren 400 beginnt mit Schritt 410, worin die Cybersicherheits-Prioritätsstufe für jede der einen oder mehreren Cybersicherheitsschwachstellen berechnet werden. Dieser Schritt kann gemäß dem vorstehend beschriebenen Verfahren 200 durchgeführt werden. Nachdem die Cybersicherheits-Prioritätsstufen für jede der einen oder mehreren Cybersicherheitsschwachstellen berechnet wurden, fährt das Verfahren 400 mit Schritt 420 fort.
In Schritt 420 wird ermittelt, ob für eine bestimmte Cybersicherheitsschwachstelle Abhilfemaßnahmen ergriffen werden sollten. In einer Ausführungsform kann bestimmt werden, Abhilfemaßnahmen für diejenigen Cybersicherheitsschwachstellen durchzuführen, deren Cybersicherheits-Prioritätsstufe einen Schwellenwert erreicht oder überschreitet. Diese Bestimmung kann durch einen Prozessor auf dem Server 82 oder Computer 18 vorgenommen werden. In weiteren Ausführungsformen kann jede der Cybersicherheitsschwachstellen ihre Cybersicherheits-Prioritätsstufen im Vergleich zu den anderen Cybersicherheitsschwachstellen aufweisen, wobei dann basierend auf den Stufen festgelegt werden kann, in welcher Reihenfolge die Cybersicherheitsschwachstellen behoben werden (z. B. ob die Cybersicherheitsschwachstellen mit der höchsten Cybersicherheitsprioritätsstufe zuerst angegangen werden).
In weiteren Ausführungsformen können die Cybersicherheits-Prioritätsstufen der Cybersicherheitsschwachstellen nur mit denen verglichen werden, die sich auf dasselbe Zielobjekt oder System beziehen. So können beispielsweise verschiedene Prioritätsstufen für verschiedene Cybersicherheitsschwachstellen für das ECU 48 und die Telematikeinheit 30 berechnet werden. Dann können die Prioritätsstufen der Cybersicherheitsschwachstellen in Bezug auf das ECU 48 miteinander verglichen werden, um zu ermitteln, welche der Cybersicherheitsschwachstellen des ECU behoben werden sollten, und auch die Prioritätsstufen der Cybersicherheitsschwachstellen in Bezug auf die Telematikeinheit 30 können miteinander verglichen werden, um zu ermitteln, welche der Cybersicherheitsschwachstellen der Telematikeinheit behoben werden sollten. Das Verfahren 400 fährt mit Schritt 430 fort.
In Schritt 430 wird mindestens eine der Sicherheitsschwachstellen behoben, deren Cybersicherheits-Prioritätsstufe den Schwellenwert der Cybersicherheits-Prioritätsstufe erreicht oder überschritten hat. Bei einigen Ausführungsformen kann dieser Abhilfeschritt das Erhalten eines neuen Softwaremoduls oder einer neuen Hardwarekomponente beinhalten, die zum Beheben der mindestens einen Cybersicherheitsschwachstelle konfiguriert ist und die auf mindestens einer der Vielzahl von zugehörigen bösartigen Aktionen basiert. In einer besonderen Ausführungsform kann der Abhilfeschritt auch die Installation des neuen Softwaremoduls oder der neuen Hardwarekomponente in das Zielobjekt beinhalten. In weiteren Ausführungsformen werden für jede der Cybersicherheitsschwachstellen Abhilfemaßnahmen ergriffen, für die in Schritt 420 festgelegt wurde, Maßnahmen zu ergreifen. Die Abhilfemaßnahmen können auf verschiedene Weise durchgeführt werden und sind abhängig von der jeweiligen Cybersicherheitsschwachstelle, dem Zielobjekt und/oder den böswilligen Handlungen der Cybersicherheitsschwachstelle. Die abgebildete Ausführungsform des Verfahrens 400 veranschaulicht drei mögliche Abhilfemaßnahmen 432, 434 und 436, die ergriffen werden können, um eine bestimmte Cybersicherheitsschwachstelle zu beheben.
Abhilfemaßnahmen 432 können ergriffen werden, wenn ein Software- und/oder Firmware-Update verwendet werden kann, um die Cybersicherheitsschwachstelle zu beheben oder zumindest die Wahrscheinlichkeit zu verringern, dass sie angegriffen und damit aufgedeckt wird. Dieser Abhilfeschritt kann beispielsweise das Hochladen des Updates (z. B. eines Softwaremoduls) über das Festnetz 16 und ein Mobilfunk-Trägersystem 70 zum Zielobjekt und die anschließende Installation des Updates im Fahrzeug beinhalten. In einer Ausführungsform kann das 48 ECU des Fahrzeugs das Zielobjekt sein, und somit kann ein Over-the-Air-Update (OTA) vom Computer 18 oder Server 82 über das Festnetz 16 und das Mobilfunk-Trägersystem 70 an das Fahrzeug gesendet werden. Das OTA-Update kann dann durch Schreiben verschiedener Computeranweisungen in den Speicher im ECU 48 installiert werden, wie beispielsweise einer Speichervorrichtung des ECU 48 oder des Speichers 54 der Telematikeinheit 30.
Abhilfemaßnahmen 434 können ergriffen werden, wenn ein neues Verschlüsselungsschema die Cybersicherheitsschwachstelle beheben kann. Wenn beispielsweise die Cybersicherheitsschwachstelle auf ein unsicheres Verschlüsselungsschema zurückzuführen ist, kann eine neue Software oder Firmware-Anwendung auf dem Zielobjekt installiert und/oder implementiert werden, um eine Gefährdung der Cybersicherheitsschwachstelle zu verhindern und/oder zu beheben.
Die Abhilfemaßnahme 436 kann in einem Szenario durchgeführt werden, in dem das Zielobjekt ein Cybersicherheit-Angriffserkennungsprofil beibehält. Wie hierin verwendet, ist ein Cybersicherheit-Angriffserkennungsprofil eine Gruppe an Merkmalen, eine Gruppe an Ereignissen und/oder eine Gruppe an Verhalten, die als mit einem Cybersicherheitsangriff und/oder einer böswilligen Handlung verbunden erkannt wurde. Das Profil kann in der Speichervorrichtung des Zielsystems oder Objekts, wie beispielsweise im Speicher 54 der Telematikeinheit 30, gespeichert werden. Das Cybersicherheit-Angriffserkennungsprofil kann aktualisiert werden, um Schäden durch böswillige Handlungen zu verhindern und/oder zu mindern. Das Verfahren 400 endet dann.
Unter Bezugnahme auf 5 wird ein Cybersicherheit-Angriffsschema-Iterationsprozess 500 dargestellt, der mit dem Verfahren 200 zum Ausführen von Schritt 240 verwendet werden kann (2). Das Verfahren 500 ist ein Beispiel dafür, wie der Iterationsprozess des Cybersicherheit-Angriffsschemas durchgeführt werden kann. Wie hierin verwendet, ist ein Iterationsprozess eines Cybersicherheit-Angriffsschemas ein Prozess, bei dem jeder der potenziellen Wege zum Aufdecken der Cybersicherheitsschwachstelle unter Verwendung einer oder mehrerer Ressourcenmetriken für jede der böswilligen Handlungen, die ein Teil der verschiedenen potenziellen Wege sind, bewertet wird. Das Verfahren 500 von 5 wird unter zusätzlicher Bezugnahme auf das in 6 dargestellte Cybersicherheit-Angriffsschema 600 erläutert. Dieses Schema 600 ist als eine Reihe von Startbedingungen (z. B. Cybersicherheitsrisiken/Exploits) und eine Kombination von logischen Beziehungen zwischen diesen Bedingungen implementiert.
Das Verfahren 500 beginnt mit Schritt 510, worin das Verfahren zum nächsten Verbinder des Schemas 600 übergeht. Zunächst kann das Verfahren mit einem der Verbinder beginnen, der sich auf der untersten Hierarchieebene des Cybersicherheit-Angriffsschemas befindet, wie beispielsweise der Verbinder 630 aus 6. Wie im Folgenden ausführlicher erläutert wird, kehren die Verfahrensschritte 540 und 550 zu Schritt 510 zurück, und wenn ein derartiges Szenario eintritt, kann der nächste Verbinder für die Zwecke von Schritt 510 ein anderer Verbinder auf derselben hierarchischen Ebene wie der kürzlich analysierte Verbinder sein, oder, wenn keine anderen auf derselben Ebene sind, kann der nächste Verbinder ein Verbinder auf der nächst niedrigeren hierarchischen Ebene sein. Das Verfahren 500 fährt mit Schritt 520 fort.
In Schritt 520 wird ermittelt, ob die Cybersicherheitsschwachstelle erreicht ist (d. h. es gibt keine Verbinder mehr zu analysieren). Wenn nicht, fährt das Verfahren 500 mit Schritt 530 fort; andernfalls fährt das Verfahren 500 mit Schritt 560 fort.
In Schritt 530 wird ermittelt, ob der Verbinder ein logischer „ODER“-Verbinder oder ein logischer „UND“-Verbinder ist. Der „ODER“-Verbinder (z. B. der Verbinder 630 aus 6) besagt, dass nur eine der damit verbundenen böswilligen Handlungen (z. B. die böswilligen Handlungen 635, 640 und 645) als Teil eines Cybersicherheitsangriffs ausgeführt werden muss. Der „UND“-Verbinder (z. B. der Verbinder 620 aus 6) besagt, dass alle der damit verbundenen böswilligen Handlungen (z. B. die böswilligen Handlungen 625 und eine von 635, 640 und 640) als Teil eines Cybersicherheitsangriffs ausgeführt werden muss. Wenn der Verbinder ein „ODER“-Verbinder ist, fährt das Verfahren 500 mit Schritt 540 fort und wenn der Verbinder ein „UND“-Verbinder ist, fährt das Verfahren 500 mit Schritt 550 fort. Andere derartige Operatoren können verwendet werden.
In Schritt 540 kann das Verfahren die Schritte 510 bis 560 für jede der böswilligen Handlungen, die mit dem Verbinder zusammenhängen, vorläufig ausführen. Nachdem das Verfahren für jede der möglichen böswilligen Handlungen ausgeführt wurde, wird für jeden der verschiedenen Fälle eine Prioritätsstufe für die Cybersicherheit basierend auf der Verwendung der Ressourcenmetriken der ausgewählten böswilligen Handlungen in Verbindung mit dem Rest des Prozesses ermittelt. In Schritt 570 kann anschließend die höchste Cybersicherheits-Prioritätsstufe verwendet werden. Nach Schritt 540 fährt das Verfahren mit Schritt 510 fort.
In Schritt 550 wird für jede Ressourcenmetrik der niedrigste Wert unter allen zugehörigen böswilligen Handlungen oder Eingaben ausgewählt (z. B. „ODER“-Verbinder 630 ist ein Eingang in den „UND“-Verbinder 620). Wenn ein „ODER“-Verbinder in den „UND“-Verbinder eingegeben wird, dann wird der Prozess 500 ausgeführt und eine Prioritätsstufe für die Cybersicherheit berechnet, wobei jede der mit dem „ODER“ verbundenen böswilligen Handlungen verwendet wird. Das Verfahren 500 fährt mit Schritt 510 fort.
In Schritt 560 werden für jedes der möglichen Szenarien Prioritätsmetriken für die Cybersicherheit erhalten. Das Cybersicherheit-Angriffsschema 600 stellt beispielsweise drei mögliche Szenarien dar, da jede der drei böswilligen Handlungen 635, 640 oder 645 verwendet werden kann. Für jedes dieser drei möglichen Szenarien kann eine Prioritätsstufe für die Cybersicherheit berechnet werden. Das Verfahren 500 fährt mit Schritt 570 fort.
In Schritt 570 wird die höchste Cybersicherheits-Prioritätsstufe verwendet. Wenn beispielsweise zahlreiche potenzielle Szenarien bestehen wie eine Cybersicherheitsschwachstelle aufgedeckt werden kann, wird die höchste Cybersicherheits-Prioritätsstufe als allgemeine Cybersicherheits-Prioritätsstufe für diese Cybersicherheitsschwachstelle verwendet. Das Verfahren 500 endet dann.
6 stellt ein exemplarisches Cybersicherheit-Angriffsschema 600 bereit, das zur Auswertung der Cybersicherheitsschwachstellen eines Bremssystems verwendet werden kann. In einer Ausführungsform kann das Schema 600 verwendet werden, um eine Cybersicherheitsschwachstelle im Zusammenhang mit einer Fahrzeugbremsfunktion darzustellen. In einem derartigen Beispiel kann das Ziel, die böswillige Handlung aufzudecken, durch den oberen Block 610 dargestellt werden, der beispielsweise eine Bremsfunktion böswillig auslösen kann. Der Verbinder 620 kann das Ausführen eines privilegierten Codes auf einem Motorsteuergerät (ECU) oder einer anderen elektronischen Steuereinheit des Fahrzeugs darstellen. Der Verbinder 630 kann das Ausführen von nicht privilegierten Codes auf dem ECU darstellen. Und die böswillige Handlung 625 kann das Auffinden und Ausschöpfen einer Privilegien erweiternden Schwachstelle darstellen (mit einer Fähigkeitsmetrik von 3, einer Kostenmetrik von 5, keiner Ortsmetrik und einer Skalierbarkeitsmetrik von 5), wobei die böswillige Handlung 635 das Entfernen eines Speicherchips und das Ändern seines Inhalts darstellen kann (mit einer Fähigkeitsmetrik von 4, einer Kostenmetrik von 5, einer Ortsmetrik von 1 und einer Skalierbarkeitsmetrik von 1), wobei die böswillige Handlung 640 das Auffinden und Ausschöpfen von Schwachstellen im Dienst über Wi-Fi™ darstellen kann (mit einer Fähigkeitsmetrik von 2, einer Kostenmetrik von 5, einer Ortsmetrik von 3 und einer Skalierbarkeitsmetrik von 5), und die böswillige Handlung 645 kann den Zugriff auf einen universellen (USB)-Debuggingdienst darstellen (mit einer Fähigkeitsmetrik von 5, einer Kostenmetrik von 5, einer Ortsmetrik von 2 und einer Skalierbarkeitsmetrik von 3). Die Gesamtauswirkungsmetrik des Schemas 600 kann beispielsweise 5 sein.
Das Cybersicherheit-Angriffsschema 600 beinhaltet die böswilligen Handlungen 625, 635, 640 und 645. Wie veranschaulicht, sind die böswilligen Handlungen 635, 640 und 645 über einen logischen „ODER“-Verbinder verbunden, was bedeutet, dass nur eine der böswilligen Handlungen 635, 640 und 645 ausgeführt werden muss, um das Ziel des Verbinders 630 zu erreichen, nämlich den unprivilegierten Code auf einem ECU auszuführen. Und böswillige Handlungen 625 und 630 werden über den logischen „UND“-Verbinder 620 miteinander verbunden. Folglich muss für das zu erreichende Objekt des Verbinders 620 die böswillige Handlung 625 (die darin besteht, eine Privilegien erweiternde Schwachstelle zu finden und auszunutzen) ausgeführt werden, und der Verbinders 630 muss sich als wahr erweisen, was der Fall sein wird, wenn eine oder mehrere der böswilligen Handlungen 635, 640 und 645 ausgeführt werden. Wenn der Verbinder 620 als wahr bewertet wird, kann die Cybersicherheit ausgesetzt werden, was zu einer böswilligen Handlung führen kann, wie sie in Block 610-z. B. durch böswilliges Betätigen einer Bremsfunktion des Fahrzeugs dargestellt wird. Wie bereits im Zusammenhang mit 5 erläutert, kann das Schema 600 analysiert werden, um eine allgemeine Cybersicherheits-Prioritätsstufe oder eine höchstmögliche Cybersicherheits-Prioritätsstufe zu berechnen (die dann als allgemeine Cybersicherheits-Prioritätsstufe verwendet wird).
Es versteht sich, dass das Vorstehende eine Beschreibung einer oder mehrerer Ausführungsformen der Erfindung ist. Die Erfindung ist nicht auf die besondere(n) hierin offenbarte(n) Ausführungsform(en) beschränkt, sondern ausschließlich durch die folgenden Patentansprüche definiert. Darüber hinaus beziehen sich die in der vorstehenden Beschreibung gemachten Aussagen auf bestimmte Ausführungsformen und sind nicht als Einschränkungen des Umfangs der Erfindung oder der Definition der in den Patentansprüchen verwendeten Begriffe zu verstehen, außer dort, wo ein Begriff oder Ausdruck ausdrücklich vorstehend definiert wurde. Verschiedene andere Ausführungsformen und verschiedene Änderungen und Modifikationen an der/den ausgewiesenen Ausführungsform(en) sind für Fachleute offensichtlich. Alle diese anderen Ausführungsformen, Änderungen und Modifikationen sollten im Geltungsbereich der angehängten Patentansprüche verstanden werden.
Wie in dieser Beschreibung und den Ansprüchen verwendet, sind die Begriffe „zum Beispiel“, „beispielsweise“, „zum Beispiel“, „wie“ und „gleich“ und die Verben „umfassen“, „aufweisen“, „enthalten“ und ihre anderen Verbformen, wenn sie in Verbindung mit einer Auflistung einer oder mehrerer Komponenten oder anderen Gegenständen verwendet werden, jeweils als offen auszulegen, was bedeutet, dass die Auflistung nicht so berücksichtigt wird, als dass sie andere, zusätzliche Komponenten oder Elemente ausschließt. Andere Begriffe sind in deren weitesten vernünftigen Sinn auszulegen, es sei denn, diese werden in einem Kontext verwendet, der eine andere Auslegung erfordert.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

ISO 26262 [0031]

Claims

Verfahren zur Bewertung einer oder mehrerer Cybersicherheitsschwachstellen, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen, das Verfahren umfassend: Erstellen eines Cybersicherheits-Angriffsschemas für jede der einen oder mehreren Cybersicherheitsschwachstellen, worin das Cybersicherheits-Angriffsschema verschiedene Möglichkeiten zum Aufdecken der Cybersicherheitsschwachstelle modelliert, worin das Cybersicherheits-Angriffsschema eine Vielzahl von böswilligen Handlungen beinhaltet, die ausgeführt werden können, und worin das Aufdecken der Cybersicherheitsschwachstelle einen potenziellen böswilligen Schaden an einem bestimmten Objekt ermöglicht; Bestimmen, für jede der Vielzahl von böswilligen Handlungen einer oder mehrerer Cybersicherheitsschwachstellen, einer oder mehrerer Ressourcenmetriken; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer oder mehrerer endgültiger Ressourcenmetriken, basierend auf der Bewertung jeder der einen oder mehreren Ressourcenmetriken unter Verwendung eines Cybersicherheits-Angriffsschema-Iterationsprozesses; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer Auswirkungsmetrik, die einen Schädigungsgrad angibt, der durch die Cybersicherheitsschwachstelle verursacht werden kann; und Berechnen einer Prioritätsstufe für jede der einen oder mehreren Cybersicherheitsschwachstellen basierend auf der Auswirkungsmetrik und der einen oder mehreren endgültigen Ressourcenmetriken.
Verfahren nach Anspruch 1, ferner umfassend den Abhilfeschritt für mindestens eine der einen oder mehreren Cybersicherheitsschwachstellen basierend auf den Cybersicherheits-Prioritätsstufen der einen oder der mehreren Cybersicherheitsschwachstellen.
Verfahren nach Anspruch 2, worin der Abhilfeschritt das Erhalten eines neuen Softwaremoduls oder einer neuen Hardwarekomponente beinhaltet, die konfiguriert ist, um die mindestens eine Cybersicherheitsschwachstelle zu beheben, wobei diese auf mindestens einer der mehreren zugehörigen böswilligen Handlungen basiert, und worin der Abhilfeschritt ferner die Installation des neuen Softwaremoduls oder der neuen Hardwarekomponente in das Zielobjekt beinhaltet.
Verfahren nach Anspruch 3, worin der Abhilfeschritt die Installation des neuen Softwaremoduls in das Zielobjekt beinhaltet, und worin der Abhilfeschritt ferner das Hochladen des Softwaremoduls über ein Festnetz und ein Mobilfunk-Trägersystem auf das Zielobjekt und anschließend das Ausführen des Installationsschritts beinhaltet.
Verfahren nach Anspruch 4, worin das Zielobjekt ein Fahrzeug ist und worin das Fahrzeug zur Aufnahme des Softwaremoduls an einer Telematikeinheit konfiguriert ist, die in der Fahrzeugelektronik des Fahrzeugs integriert ist, und worin die Fahrzeugelektronik ferner ein oder mehrere Fahrzeugsystemmodule beinhaltet, an denen das Softwaremodul installiert ist.
Verfahren nach Anspruch 1, worin die eine oder die mehreren Ressourcenmetriken Folgendes beinhalten: eine Kostenmetrik, die geschätzte oder ermittelte Kosten zum Durchführen der böswilligen Handlung darstellt; eine Ortsmetrik, die einem Ort zugeordnet ist, von dem aus die böswillige Handlung ausgeführt werden kann; eine Skalierbarkeitsmetrik, die mit einem Ausmaß verbunden ist, in dem die böswilligen Handlungen auf zusätzlichen Systemen ohne neue Ressourcen durchgeführt werden können; und eine Fähigkeitsmetrik, die mit einer Fähigkeitsstufe verbunden ist, die für einen böswilligen Angreifer erforderlich ist, um die böswillige Handlung auszuführen.
Verfahren nach Anspruch 6, worin das Erhalten des endgültigen Ressourcenmetrik-Schritts das Erhalten einer endgültigen Kostenmetrik, einer endgültigen Ortsmetrik, einer endgültigen Skalierbarkeitsmetrik und einer endgültigen Fähigkeitsmetrik beinhaltet und worin jeder der endgültigen Ressourcenmetriken ein numerischer Wert zugewiesen wird und worin der Berechnungsschritt ferner das Verwenden der numerischen Werte in der folgenden Formel beinhaltet, um die Prioritätsstufe der Cybersicherheitsschwachstelle zu erhalten: 100 × tanh(C × R_impact × R_cost × R_locality × R_scalability × R_skill), worin C für einen Wert ungleich Null steht, R_impact für die Auswirkungsmetrik steht, R_cost für die finale Kostenmetrik steht, R_locality für die endgültige Ortsmetrik steht, R_scalability für die endgültige Skalierbarkeitsmetrik steht und R_skill für die endgültige Fähigkeitsmetrik steht.
Verfahren nach Anspruch 1, worin die Auswirkungsmetrik auf einem Sicherheitsauswirkungsindikator, einem Datenempfindlichkeitsauswirkungsindikator und einem Gutwilligkeits-Auswirkungsindikator basiert.
Verfahren nach Anspruch 8, worin die Auswirkungsmetrik basierend auf der folgenden Gleichung bestimmt wird: Maximum von (safety_impact, data_sensitivity_impact, good_will_impact) worin R_impact für die Auswirkungsmetrik steht, safety_impact für den Sicherheitsauswirkungsindikator steht, data sensitivity_impact für den Datenempfindlichkeitsauswirkungsindikator steht, und good_will_impact für den Gutwilligkeits-Auswirkungsindikator steht.
Verfahren zur Bewertung einer oder mehrerer Cybersicherheitsschwachstellen, um eine Prioritätsmetrik für jede der einen oder mehreren Cybersicherheitsschwachstellen festzulegen, das Verfahren umfassend: Erstellen eines Cybersicherheits-Angriffsschemas für jede der einen oder mehreren Cybersicherheitsschwachstellen, worin das Cybersicherheits-Angriffsschema verschiedene Möglichkeiten zum Aufdecken der Cybersicherheitsschwachstelle modelliert, worin das Cybersicherheits-Angriffsschema eine Vielzahl von böswilligen Handlungen beinhaltet, die ausgeführt werden können, und worin das Aufdecken der Cybersicherheitsschwachstelle einen potenziellen böswilligen Schaden an einem bestimmten Objekt ermöglicht; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer oder mehrerer endgültiger Ressourcenmetriken, basierend auf der Bewertung jeder der einen oder mehreren Ressourcenmetriken; Erhalten, für jede der einen oder mehreren Cybersicherheitsschwachstellen, einer Auswirkungsmetrik, die einen Schädigungsgrad angibt, der durch die Cybersicherheitsschwachstelle verursacht werden kann; Berechnen einer Prioritätsstufe für jede der einen oder mehreren Cybersicherheitsschwachstellen basierend auf der Auswirkungsmetrik und der einen oder mehreren endgültigen Ressourcenmetriken; und Erhalten eines neuen Softwaremoduls oder einer neuen Hardwarekomponente, die zum beheben der mindestens einen Cybersicherheitsschwachstelle konfiguriert ist und die auf mindestens einer der Vielzahl von zugehörigen böswilligen Handlungen basiert.