近日，CCIA中国网络安全产业联盟“2024年网络安全优秀创新成果大赛”评选结果正式公布。“瑞数车联网应用数据安全监测方案”凭借在网络安全领域的创新能力和产品成熟度，从众多参赛方案和产品中脱颖而出，荣获优胜奖！
“2024 年网络安全优秀创新成果大赛”由中央网信办网络安全协调局指导，中国网络安全产业联盟（CCIA）牵头主办，旨在推选我国网络安全产业优秀创新成果，激发网络安全企业加强自主创新能力。大赛已经成为国内网络安全行业的一项重要标杆赛事，深受各地网信部门、政企单位以及网络安全企业的瞩目与认可。
作为大赛的重要分支赛事，“汽车网络安全专题赛”分为解决方案和创新产品两大类型，其中解决方案重点面向自动驾驶数据与网络安全等领域。本次比赛评审专家组由来自网络安全及汽车安全相关行业部门、高校、科研机构、CCIA专家委专家共同组成。
车联网数据安全落地难点
近年来，车联网作为汽车行业与信息技术深度融合的产物，正以前所未有的速度发展。车路云一体化、5G-A车联网技术、通感算一体化技术等新兴技术的应用，为人们的出行带来了极大的便利和智能化体验。然而，伴随着这些新技术的广泛应用，车联网的数据安全问题日益凸显。
“YDT3751-2020 车联网信息服务数据安全技术要求”和“YDT3746-2020 车联网信息服务用户个人信息保护要求”的出台，为车联网行业的数据安全提供了规范性的指导和约束。但现实中，汽车行业的数据泄露事件仍时有发生，给用户和企业带来了不可估量的损失。车路云一体化使得车辆、道路和云端之间的数据交互频繁且复杂，大量的敏感信息在其间传输，若安全防护不到位，极易被窃取或篡改。5G-A 车联网技术的高速率和低延迟虽提升了服务质量，但也带来了数据量的暴增和处理速度的挑战，对数据的加密、存储和访问控制提出了更高要求。通感算一体化技术的融合，则进一步增加了数据的多样性和复杂性，使得数据管理和保护的难度加大。
瑞数信息认为，车联网行业数据安全落地存在以下主要难点：
- 影子API管理车联网系统中存在大量影子API，并因其隐蔽性吸引攻击者目光。难点在于如何全面、准确地发现和识别这些影子API，并对其进行有效的管理和监控，以防止数据泄露或系统被篡改。
- API敏感数据保护车联网系统中的API接口涉及大量的敏感数据，如车辆位置、用户信息、驾驶习惯等。难点在于如何确保API接口在数据传输、存储和处理过程中的安全性，防止数据被非法获取或滥用。
- API访问权限控制在车联网系统中，如何制定有效的权限控制策略，合理设置和管理不同API接口的不同权限，确保只有经过授权的用户或系统能够访问和操作这些API接口，是一个需要解决的问题。
- API安全审计和监控由于车联网系统的复杂性和多样性，如何建立完善的API接口安全审计和监控机制，及时发现和处理潜在的安全风险是一个挑战。
- API漏洞发现和修复API接口可能存在的安全漏洞是车联网系统面临的重要安全风险之一。难点在于如何建立完善的漏洞发现和修复机制，并确保这些机制能够在实际应用中得到有效执行。
- 资产识别难度大车联网数据量大、业务类型复杂、涉及的应用系统较多，各应用系统的命名规范、语言、框架均有所差异，因此对于资产的有效梳理和识别是项巨大的挑战。
- 法律法规尚在完善阶段由于行业发展比较快，相关法规和标准还在不断发展和完善中，企业在数据安全实践中缺乏明确的指导和规范。落地实施的方向的尺度难以把控。
前扫描、中防护、后审计，构筑车联网安全“防火墙”
在此背景下，针对车联网面临的各种安全威胁，瑞数“车联网应用数据安全监测方案”应运而生。该方案以“前扫描、中防护、后审计”为防护理念，是应对车联网安全的一项整体解决方案——车联网安全扫描器让车联网资产发现方式由被动转为主动，积极探测车联网安全漏洞与缺陷；WAAP方案全面增强车联网在Web/H5、APP 和小程序等全渠道的安全防护；车联网安全审计则提供事后溯源以及业务深入分析等功能。 - 事前扫描方案采用资产库猜测、模糊测试、主动漏洞测试等多种先进手段，对车联网系统中的API 资产进行全面测绘。通过深度分析API的接口信息、功能特性以及与其他组件的交互方式，能够精确识别出系统中的API资产，并构建出完整的API资产库。
在API资产测绘的基础上，结合内置的缺陷模型和漏洞库，对API接口进行安全风险评估。这些缺陷模型和漏洞库包含了各类已知的安全风险和漏洞类型，通过自动化检测和人工验证相结合的方式，能够发现车联网API接口中存在的各种安全风险问题，如敏感数据的传输检测、越权访问、注入漏洞等。
针对检测出的安全风险问题，瑞数信息提供专业详细的评估报告。报告中详细列出了每个安全风险的具体信息，包括问题描述、影响范围、解决方案等，帮助客户全面了解API接口的安全状况，并提供针对性的改进建议。
- 事中防护解决方案中，瑞数信息创新型地将WAAP防护策略应用至车联网行业，以全面保护API接口的安全。这一策略覆盖了API接口的所有访问渠道，包括但不限于车载系统、移动APP、小程序等，确保在各种应用场景下，车辆与后台服务之间的通信都受到严密保护。
瑞数车联网安全解决方案还集成了多种关键安全能力，包括WAF、Bot防护、DDoS防护以及API管控能力。这些能力共同构建起一道坚实的防线，有效抵御各类安全威胁。构建更加安全的车联网环境。
在车联网环境中，API接口面临着来自多方面的攻击，其中Bots攻击尤为常见。这类攻击可能包括漏洞探测、参数遍历、数据爬取等，严重威胁着车辆数据的安全和隐私。通过WAAP防护策略中的主动防御和动态防御技术，瑞数信息能够实时监测并阻断这些恶意流量，有效保护API接口的安全。
- 事后审计
瑞数信息采用了API安全审计功能，以确保车联网系统中API接口的安全性。该功能通过流量镜像技术，能够自动识别车联网系统中的API接口，并对其进行全面的安全检测。
在审计过程中，API安全审计功能会深入分析车联网API接口的流量数据，检测其中是否存在安全风险、应用缺陷等问题。同时，它还会特别关注敏感数据和敏感文件的传输情况，确保这些重要信息在传输过程中不被窃取或篡改，从而有效保障数据的安全。
除对API接口本身的安全性进行检测外，API安全审计功能还会对API访问行为进行行为分析。通过分析访问行为的模式、频率等特征，及时发现潜在的恶意访问和未经授权的访问行为，并采取相应的防御措施，确保车联网API接口的安全稳定运行。
综上所述，瑞数车联网应用数据安全解决方案通过开发阶段的安全风险评估、上线阶段的全渠道防护以及API审计能力，为用户构建了一个完整的API安全防护体系。这一解决方案能够有效保护车联网系统中API接口的安全，确保车辆数据的安全和用户的隐私，为车联网的健康发展提供坚实的安全保障。
目前，“瑞数车联网应用数据安全监测”已广泛应用于多个场景。无论是智能交通系统，还是汽车制造商的生产研发，都能依靠它确保数据安全。在车载娱乐、远程控制、车辆诊断维修等方面，它能有效防范数据风险。对于共享汽车、自动驾驶、智能停车等领域，它更是不可或缺的保障。
在某造车新势力厂商的实际应用之中，瑞数信息方案上线一周后，该方案在扫描阶段检测出24个影子API，经业务确认是老旧未下线API接口，同时检测出超过10个严重的业务漏洞，包含未鉴权访问、过度数据暴露等。在防护阶段，该方案有效拦截针对车联网应用的攻击事件超过100次，依次是API滥用、SQL注入攻击、XSS攻击，并发现车联网应用未授权访问并拦截超过30次，限制客户端访问超过100次。在之后的审计阶段，该方案审计了超过2个车联网应用共67个未在台账中的API，审计1个车联网应用系统超过50个缺陷API在线上提供服务。
展望未来，瑞数信息将继续致力于为客户提供卓越的车联网数据安全解决方案，携手共创一个更安全、更智能的驾驶新时代。
