Herkömmliche VSOC-Plattformen stoßen an ihre Grenzen Cyberabwehr im Automobilbereich neu überdenken

Anbieter zum Thema

FTAPI Software GmbH

Der Bereich der Cybersicherheit von Fahrzeugen entwickelt sich sehr dynamisch in den letzten Jahren, und dadurch wächst in der gesamten Automobilindustrie der Druck durch diverse Regulatorien und Vorschriften. OEMs, Zulieferer und Automobilhersteller müssen zügig handeln, um den Sicherheitsanforderungen und der schnelllebigen Branche gerecht zu werden.

Die meisten Anbieter bevorzugen bei der Absicherung der Automotive-Systeme den konventionellen Weg der Einrichtung eines cloudbasierten Vehicle Security Operations Center (VSOC). Sie tun dies aufgrund der vermeintlichen Vorteile einer schnellen Installation und geringen Invasivität dieser Überwachungs- und Schutzsysteme.

Da bei der dauerhaften Gewährleistung der Cybersicherheit in der Automobilindustrie jedoch auch fahrzeuginterne Komponenten und Infrastrukturen berücksichtigt werden müssen, die über die Grenzen der reinen Cloudanwendung hinausgehen, bieten die herkömmlichen cloudbasierten VSOC-Plattformen meistens keinen zuverlässigen Schutz gegen die große Bandbreite möglicher Cyberangriffe. Es ist die Zeit angekommen, VSOC-Plattformen neu zu definieren, um das von Industrie und Nutzern benötigte Schutzniveau zu erreichen.

Veranschaulichen wir diese Notwendigkeit anhand eines realen Praxisfalls.

Heutige VSOC-Plattformen erweisen sich oft als unzureichend

Bei einem Angriffsversuch von White Hat Hackern im Jahr 2020 wurde zunächst der Bluetooth Funkstandard ausgenutzt, um einen schadhaften Code einzuschleusen. Dadurch gelang es den Angreifern, das Infotainment-System (IVI) des Wagens mit einem zweifelhaften WLAN-Hotspot zu verbinden und eine sogenannte Hintertür zu installieren. Dadurch waren sie dann in der Lage, mithilfe schadhafter CAN-Botschaften das Fahrzeug dazu zu bewegen, eine Diagnose ohne Authentifizierung durchzuführen. Der Cyberangriff lief dabei in folgenden Schritten ab (siehe Abbildung):

• 1. Ausnutzung des Bluetooth Funkstandards zum Einschleusen von Schad-Code.

• 2. Verbindungsaufbau mit einem schadhaften WLAN-Zugangspunkt, um eine Hintertür zu installieren.

• 3. Manipulation der Firmware mithilfe eines sogenannten Flashs (Flash Plattform/Flash Dateisystem).

• 4. Übernahme der Kontrolle über das IVI-System.

• 5. Einschleusen bösartiger CAN-Botschaften.

Dieses Szenario zeigt die Einschränkungen, die mit der Abhängigkeit von einer cloudbasierten VSOC-Plattform verbunden sind. Denn herkömmliche VSOC-Plattformen senden erst dann Sicherheitswarnungen aus, wenn das Fahrzeug bereits verdächtige Aktionen durchführt und eine Anomalie entdeckt wird, wie z. B. die Einleitung der oben erwähnten fehlerhaften Selbstdiagnose. Das verkürzt die Reaktionszeit der Sicherheitsverantwortlichen erheblich, da zu diesem Zeitpunkt der Angriffspfad bereits fast abgeschlossen ist und der Cyberangreifer schon zum letzten Schritt seiner Attacke übergegangen ist.

Drei wesentliche Einschränkungen aktueller VSOC-Plattformen

Wie wir schon veranschaulicht haben, stoßen die herkömmlichen VSOC-Plattformen schnell an ihre Grenzen bei der Erkennung von Cyberangriffen und können keinen zuverlässigen Schutz für die Automobilhersteller, Zulieferer und Endkunden gewährleisten. Doch welches sind die wesentlichen Einschränkungen dieser Plattformen? Hier fallen vor allem 3 Aspekte ins Gewicht:

• Mangelnde Zuverlässigkeit: Aktuelle VSOC-Plattformen, die KI-gestützte Gefahrenerkennung nutzen, neigen dazu, für jede verdächtige Anomalie Alarme auszulösen und die Cybersicherheitsteams mit verspäteten oder irrelevanten Warnmeldungen zu überhäufen. Das verursacht bei den IT-Experten Alarmmüdigkeit und kann sogar dazu führen, dass hochrelevante Angriffsmeldungen, die dringend eine Reaktion benötigen, unbeabsichtigt ignoriert werden.

• Mangelnde Präzision: Nicht alle Bedrohungsaktivitäten werden von den meisten der existierenden VSOC- Plattformen von Anfang an als solche erkannt. Viele Bedrohungsvektoren, die relativ neu sind, bleiben eine Zeit lang als "verdächtige Anomalien" verborgen. Denn die Sicherheitsverantwortlichen erhalten von den VSOC-Plattformen keine detaillierten Informationen über die Angriffstaktiken und -techniken der Cyberkriminellen, was das Verständnis der Ziele und Methoden der Angreifer und dadurch die Umsetzung der notwendigen Gegenmaßnahmen erschwert.

• Fehlende Details und Personalisierung: Die generische Protokoll-Liste, die diese VSOC-Plattformen in den meisten Fällen verwenden, erzeugt unbrauchbare Sicherheitsprotokolle, was oft die Risikobehebung verzögert, da wichtige Details zur Ursprungsquelle des Angriffs fehlen, die dann erst manuell untersucht werden müssen. Aufgrund dieser mangelnden Transparenz der Angriffsschritte haben die VSOC-Teams meistens nicht die Möglichkeit die Cyberbedrohungen proaktiv anzugehen und rechtzeitig wirksame Sicherheitsmaßnahmen zu implementieren – wie in dem erwähnten Praxisbeispiel, bei dem das VSOC-Team die 5 Schritte der Cyberattacke nicht rechtzeitig genug erkannte, um Abwehrmaßnahmen einzuleiten.

Wie kann man diese Herausforderungen meistern?

Der Schlüssel zur Lösung der skizzierten Problematik liegt in kontextualisierten Angriffspfaden. Ein Angriffspfad ist die Abfolge von Schritten oder Methoden, die ein böswilliger Akteur (z. B. ein Hacker) verwenden könnte, um sich unbefugten Zugriff auf ein Fahrzeugsystem, ein Fahrzeugnetzwerk oder auf sensible Informationen zu verschaffen. Mithilfe der Kontextualisierung werden einzelne Schritte und Ereignisse der Attacke miteinander in Verbindung gesetzt und der Blick auf die Gesamtzusammenhänge ermöglicht. Das tiefgreifende Verständnis und die Analyse der Angriffspfade sind für VSOC-Teams besonders wichtig, um Cyberschwachstellen zu identifizieren und rechtzeitig präventiv zu handeln.

Bessere Übersicht mit einer VSOC-Plattform der nächsten Generation

Neuartige VSOC-Plattformen der nächsten Generation verschaffen die benötigten kontextbezogenen Einblicke in den Angriffspfad. Dank der Integration mit einem fahrzeuginternen VSOC-Sensor lassen sich neu entstehende Bedrohungsvektoren proaktiv identifizieren, bevor sie allgemein bekannt werden. Mit diesem Ansatz können VSOC-Teams nach neueren Bedrohungsvektoren suchen und den Ursprung eines Cyberangriffs zuverlässig zurückverfolgen, betroffene Bereiche identifizieren und das eigentliche Ziel der Angreifer erkennen. Sie haben die Möglichkeit sich einen klaren Überblick zu verschaffen und proaktive Sicherheitsmaßnahmen rechtzeitig zu ergreifen, um die Risiken zu minimieren.

Zusammenfassung

Eine VSOC-Lösung der nächsten Generation geht über die herkömmlichen Plattformen hinaus, die oft ausschließlich auf die KI-gestützte Erkennung von Mustern zurückgreifen. Durch die Synergie zwischen Large Language Modeling (LLM) und kontextbezogener Bedrohungsintelligenz für den Automobilbereich (Automotive Threat Intelligence) werden bösartige Cyberangriffe eindeutig erkannt und nicht nur als verdächtige Anomalien abgehakt. Auf diese Weise wird die Last der unerklärlichen Fehlalarme effektiv reduziert und die VSOC-Analysten können diese wertvollen Bedrohungsdaten effektiv nutzen, um entsprechend proaktiv zu handeln.

Über die Autorin: Ling Cheng ist Senior Product Marketing Manager bei VicOne.

(ID:50041573)