隨著汽車的網聯化、智能化發展，汽車所面臨的網絡安全風險隨之增加。為了保障智能汽車網絡安全，國際國內相繼出臺了一系列的汽車網絡安全法規及標準。從 SAE J3061到 ISO 21434，威脅分析與風險評估（TARA）均被作為網絡安全分析的核心方法，目前已成為智能汽車網絡安全開發的起點和關鍵基石。
技術的進步往往是從“工具”的使用和進化開始，當前，TARA工作亟需標準化、體系化與智能化，一款自動化且高效的TARA分析工具逐漸成為市場剛需。
TARA 工具化
一站式解決方案
智能汽車的系統開發，一般會從整車級別的需求一步步拆分到系統和軟硬件層面，很多具體的需求都能夠反向關聯到整車的某項參數。但網絡安全需求很難直接從整車需求推導得出。需要一套有效的且完備具備一致性的安全分析和風險評估方法論來作為后續安全設計、安全開發等工作的依據。
這個方法論就是TARA。
目前市場上，TARA分析還面臨著相關軟件工具尚不完善、效率低下、任務繁瑣等痛點。在具體TARA實踐中，容易受到安全人員的主觀水平影響，導致信息安全效率偏低，且一致性、完整性難以得到保證。
作為國內首款自動化TARA分析工具，云馳未來InTARA工具經過不斷迭代，功能日趨完備，可以基于ISO21434標準，一站式形成完整的TARA分析。
基于ISO21434框架，InTARA配置庫可制定適用于本企業的TARA分析方法論，標準化安全團隊所有成員的分析策略。同時，系統知識庫會自動或輔助的形式幫助安全工程師完成TARA分析。
引導式TARA分析
·系統引導安全工程師完成TARA分析全過程
·系統基于知識庫輔助或自動化方式提高分析效率
·系統內分析過程：系統定義、資產識別、損害場景定義、影響評級、威脅場景定義、攻擊路徑識別、可行性評級、風險識別、風險處置
系統定義
·支持用戶在線繪制EE架構圖，定義功能列表、接口信息
·InTARA識別EE架構與功能矩陣
資產識別
·基于繪制數據流圖方式的資產識別
·基于列表、批量上傳方式的資產識別
·自動分配待分析安全屬性
損害場景定義
·每個資產為維度的損害知識庫，自動引用或給出參考值
·自定義損害場景模板
·支持變量方式定義場景、提高場景復用率
·綁定安全目標，方便追溯安全資產的安全目標
影響評級
·每個資產為維度的損害知識庫，自動引用或給出參考值
·基于強大的配置庫支撐、一鍵切換和定制化分析方法論
威脅場景定義
·每個資產為維度的威脅知識庫，自動引用或提醒用戶
·STRIDE模型關聯
攻擊路徑識別
·整車、零部件兩種識別算法，自動匹配知識庫，自動分析每個威脅關聯的攻擊路徑(攻擊樹)
·支持邏輯與邏輯或節點分析
·每一步攻擊指定攻擊可行性、安全需求、安全標準
可行性評級
·攻擊潛力、攻擊向量
·每個資產為維度的知識庫，自動引用或給出參考值
·基于強大的配置庫支撐、一鍵切換和定制化分析方法論
風險識別
·基于風險矩陣配置，自動計算風險等級
·清晰管理安全資產、安全風險、安全目標、安全需求
風險處置
·推薦風險處置策略
·指定網絡安全聲明
團隊協同
·多團隊、多人協作模式
·TARA報告、知識庫等數據靈活共享
·人員管理、角色管理、審計管理
服務支撐
·TARA分析能力建設
·InTARA基礎知識庫維護
·InTARA使用培訓、私有化知識庫建立
·現有TARA分析報告導入
TARA 體系化
企業級分析知識庫
從正向開發和安全左移角度來看，TARA過程及其相關交付物都是促進信息安全融入產品正向開發過程的紐帶，是將安全能力前置，驅動網絡安全規劃體系化落地的戰略性洞察，也是網絡安全團隊創造價值、展現專業能力的關鍵所在。
目前行業比較缺乏汽車領域專有資產庫、威脅庫、攻擊庫、需求庫、標準庫等分析知識庫，這使得TARA對安全分析人員的能力提出較高要求，且分析結果很難達成行業層面的一致。
InTARA工具提供了清晰的分析流程及自動化的分析能力，輔助工程師提升工作效率，讓部分需要手工完成的工作由工具完成，其中內置了強大的數據庫，包括資產庫，威脅庫，攻擊庫，需求庫，標準庫以及模版庫。
資產庫
云馳未來內部專家團隊根據以往的項目經驗以及積累，整理出了一套基于整車及零部件的資產庫，減少了工程師完成資產識別的工作量，為TARA分析過程節省了大量的時間。
威脅庫
InTara支持威脅庫的建立，通過將資產與威脅進行綁定，建立一套完整的資產與威脅庫，當我們完成一個車型的分析后，我們分析結果中的資產可以完全在下一個車型進行復用，用戶只需要完成數據流圖，即可生成TARA分析報告，自動化程度更高。
攻擊庫
攻擊庫結合了傳統信息安全的攻擊理論及實戰經驗，包含針對智能網聯汽車整車及零部件的攻擊路徑庫以及云端后臺相關的攻擊路徑。
需求庫
需求庫中包含了基于整車和零部件的相關安全要求，其中包含ECU的基本安全要求和基于控制器特殊功能產生的威脅所提出的針對性要求以及車云通信和云端后臺相關的安全要求。
標準庫
InTara內置了汽車行業全面的信息安全標準庫，包含國內外相關的法規標準，一方面可以滿足OEM通過R155認證的要求，另一方面可以作為資料供相關人員查閱。
TARA 智能化
融合的數據通道能力
在具體實踐中，不管是汽車整車還是零部件的研發，TARA都不是一蹴而就的，甚至往往要貫穿整個研發過程。但是，由于汽車的產業鏈較長，車企難以獲取系統描述或TOE信息，缺乏支持上下游協同編輯的分析工具，這也導致汽車產業鏈企業難以做到協同分析。
云馳未來的InTARA軟件以工程文件的形式保存數據與評估結果，并且支持與后臺服務器通信實現數據共享與業務協同，通過TARA報告的統一化管理，支持在版本迭代、車型及團隊之間統一管理和服用，減少工作量，隨著項目的深入和工作數據的積累，不斷優化TARA效果，從而提高整個汽車信息安全工程的體系化和智能化水平。
開放式數據管理
·設立通用API模塊，輕松適配OEM各大現有平臺
·資產、風險、需求、目標等關鍵數據提取能力
全生命周期
·CSMS、VSOC等平臺對接，完成安全開發閉環
·與工單系統、賬號系統對接，實現一站式管理安全風險
關于INCHTEK·云馳未來
云馳未來專注于智能汽車信息安全產品與技術研發，是國內領先的智能汽車信息安全供應商，可為自動駕駛和智能網聯汽車廠商提供軟硬結合、車云一體的信息安全產品和全生命周期信息安全解決方案。
公司已服務全國約60%的L4無人駕駛車輛；落地RoboTaxi、RoboBus、RobTrunk、無人駕駛物流車、礦卡、環衛車、觀光車等12種車型、23個省，42個城市、20種應用場景；是百度Apollo、京東物流、圖森未來、阿里達摩院、三一智礦、文遠知行、輕舟智航、希迪智駕、馭勢科技等16家頭部自動駕駛企業的信息安全合作伙伴；是寶馬、東風、賽力斯、金龍等OEM主機廠信息安全合規咨詢服務和技術解決方案供應商。
