随着汽车的网联化、智能化发展，汽车所面临的网络安全风险随之增加。为了保障智能汽车网络安全，国际国内相继出台了一系列的汽车网络安全法规及标准。从 SAE J3061到 ISO 21434，威胁分析与风险评估（TARA）均被作为网络安全分析的核心方法，目前已成为智能汽车网络安全开发的起点和关键基石。
技术的进步往往是从“工具”的使用和进化开始，当前，TARA工作亟需标准化、体系化与智能化，一款自动化且高效的TARA分析工具逐渐成为市场刚需。
TARA 工具化
一站式解决方案
智能汽车的系统开发，一般会从整车级别的需求一步步拆分到系统和软硬件层面，很多具体的需求都能够反向关联到整车的某项参数。但网络安全需求很难直接从整车需求推导得出。需要一套有效的且完备具备一致性的安全分析和风险评估方法论来作为后续安全设计、安全开发等工作的依据。
这个方法论就是TARA。
目前市场上，TARA分析还面临着相关软件工具尚不完善、效率低下、任务繁琐等痛点。在具体TARA实践中，容易受到安全人员的主观水平影响，导致信息安全效率偏低，且一致性、完整性难以得到保证。
作为国内首款自动化TARA分析工具，云驰未来InTARA工具经过不断迭代，功能日趋完备，可以基于ISO21434标准，一站式形成完整的TARA分析。
基于ISO21434框架，InTARA配置库可制定适用于本企业的TARA分析方法论，标准化安全团队所有成员的分析策略。同时，系统知识库会自动或辅助的形式帮助安全工程师完成TARA分析。
引导式TARA分析
·系统引导安全工程师完成TARA分析全过程
·系统基于知识库辅助或自动化方式提高分析效率
·系统内分析过程：系统定义、资产识别、损害场景定义、影响评级、威胁场景定义、攻击路径识别、可行性评级、风险识别、风险处置
系统定义
·支持用户在线绘制EE架构图，定义功能列表、接口信息
·InTARA识别EE架构与功能矩阵
资产识别
·基于绘制数据流图方式的资产识别
·基于列表、批量上传方式的资产识别
·自动分配待分析安全属性
损害场景定义
·每个资产为维度的损害知识库，自动引用或给出参考值
·自定义损害场景模板
·支持变量方式定义场景、提高场景复用率
·绑定安全目标，方便追溯安全资产的安全目标
影响评级
·每个资产为维度的损害知识库，自动引用或给出参考值
·基于强大的配置库支撑、一键切换和定制化分析方法论
威胁场景定义
·每个资产为维度的威胁知识库，自动引用或提醒用户
·STRIDE模型关联
攻击路径识别
·整车、零部件两种识别算法，自动匹配知识库，自动分析每个威胁关联的攻击路径(攻击树)
·支持逻辑与逻辑或节点分析
·每一步攻击指定攻击可行性、安全需求、安全标准
可行性评级
·攻击潜力、攻击向量
·每个资产为维度的知识库，自动引用或给出参考值
·基于强大的配置库支撑、一键切换和定制化分析方法论
风险识别
·基于风险矩阵配置，自动计算风险等级
·清晰管理安全资产、安全风险、安全目标、安全需求
风险处置
·推荐风险处置策略
·指定网络安全声明
团队协同
·多团队、多人协作模式
·TARA报告、知识库等数据灵活共享
·人员管理、角色管理、审计管理
服务支撑
·TARA分析能力建设
·InTARA基础知识库维护
·InTARA使用培训、私有化知识库建立
·现有TARA分析报告导入
TARA 体系化
企业级分析知识库
从正向开发和安全左移角度来看，TARA过程及其相关交付物都是促进信息安全融入产品正向开发过程的纽带，是将安全能力前置，驱动网络安全规划体系化落地的战略性洞察，也是网络安全团队创造价值、展现专业能力的关键所在。
目前行业比较缺乏汽车领域专有资产库、威胁库、攻击库、需求库、标准库等分析知识库，这使得TARA对安全分析人员的能力提出较高要求，且分析结果很难达成行业层面的一致。
InTARA工具提供了清晰的分析流程及自动化的分析能力，辅助工程师提升工作效率，让部分需要手工完成的工作由工具完成，其中内置了强大的数据库，包括资产库，威胁库，攻击库，需求库，标准库以及模版库。
资产库
云驰未来内部专家团队根据以往的项目经验以及积累，整理出了一套基于整车及零部件的资产库，减少了工程师完成资产识别的工作量，为TARA分析过程节省了大量的时间。
威胁库
InTara支持威胁库的建立，通过将资产与威胁进行绑定，建立一套完整的资产与威胁库，当我们完成一个车型的分析后，我们分析结果中的资产可以完全在下一个车型进行复用，用户只需要完成数据流图，即可生成TARA分析报告，自动化程度更高。
攻击库
攻击库结合了传统信息安全的攻击理论及实战经验，包含针对智能网联汽车整车及零部件的攻击路径库以及云端后台相关的攻击路径。
需求库
需求库中包含了基于整车和零部件的相关安全要求，其中包含ECU的基本安全要求和基于控制器特殊功能产生的威胁所提出的针对性要求以及车云通信和云端后台相关的安全要求。
标准库
InTara内置了汽车行业全面的信息安全标准库，包含国内外相关的法规标准，一方面可以满足OEM通过R155认证的要求，另一方面可以作为资料供相关人员查阅。
TARA 智能化
融合的数据通道能力
在具体实践中，不管是汽车整车还是零部件的研发，TARA都不是一蹴而就的，甚至往往要贯穿整个研发过程。但是，由于汽车的产业链较长，车企难以获取系统描述或TOE信息，缺乏支持上下游协同编辑的分析工具，这也导致汽车产业链企业难以做到协同分析。
云驰未来的InTARA软件以工程文件的形式保存数据与评估结果，并且支持与后台服务器通信实现数据共享与业务协同，通过TARA报告的统一化管理，支持在版本迭代、车型及团队之间统一管理和服用，减少工作量，随着项目的深入和工作数据的积累，不断优化TARA效果，从而提高整个汽车信息安全工程的体系化和智能化水平。
开放式数据管理
·设立通用API模块，轻松适配OEM各大现有平台
·资产、风险、需求、目标等关键数据提取能力
全生命周期
·CSMS、VSOC等平台对接，完成安全开发闭环
·与工单系统、账号系统对接，实现一站式管理安全风险
关于INCHTEK·云驰未来
云驰未来专注于智能汽车信息安全产品与技术研发，是国内领先的智能汽车信息安全供应商，可为自动驾驶和智能网联汽车厂商提供软硬结合、车云一体的信息安全产品和全生命周期信息安全解决方案。
公司已服务全国约60%的L4无人驾驶车辆；落地RoboTaxi、RoboBus、RobTrunk、无人驾驶物流车、矿卡、环卫车、观光车等12种车型、23个省，42个城市、20种应用场景；是百度Apollo、京东物流、图森未来、阿里达摩院、三一智矿、文远知行、轻舟智航、希迪智驾、驭势科技等16家头部自动驾驶企业的信息安全合作伙伴；是宝马、东风、赛力斯、金龙等OEM主机厂信息安全合规咨询服务和技术解决方案供应商。
