RAS三年内将成为攻击目标？何时重新开启 TARA
01摘要
0283% 说明了什么，又没有说明什么
QNX《Under the Hood: SDV Developer Report》2026 年版由 OnePoll 于 7 月 20 日至 8 月 4 日在线开展调查。与安全相关的数据如下。
| 数据 | 内容 |
|---|---|
| 83% | 预计 SDV 将在三年内成为网络攻击的主要目标 |
| 48% | 将安全威胁列为未来最大的担忧（比上年上升 5 个百分点） |
| 47% | 认为网络漏洞是大规模推出 SDV 的最大风险 |
| 46% | 认为网络安全标准（UNECE WP.29、ISO/SAE 21434）是最难满足的法规 |
| 79% | 感受到来自行动更快的竞争对手的压力 |
解读这些数据时需要记住两点。第一，这项调查由一家销售车载软件的公司委托开展，受访者有偿参与。第二，83% 是开发者的预测，而不是已发生攻击的统计，并不意味着 83% 的车辆会遭到攻击。
TheAutoExec 报道这项调查的文章更进了一步。作者写道，制造商应当能够说明车辆将在多长时间内获得安全更新，以及出现漏洞时如何应对。这是作者的观点，而非调查结果。不过对工程师而言，这个问题会立刻变成另一个问题：作为回答依据的风险评估，现在仍然正确吗？
03量产时的 TARA 建立在假设之上
ISO/SAE 21434 的范围并不止于概念和开发阶段，还涵盖生产、运行、维护和报废。第 8 章涵盖为持续风险评估提供信息的活动，以及直至网络安全支持终止的漏洞管理；第 13 章涵盖事件响应与更新；第 14 章涵盖支持终止与报废。UN R155 规定的网络安全管理体系同样延伸到生产后阶段。
为什么量产之后评估结果会发生变化？在攻击潜力方法中，攻击可行性由五个因素之和决定。
| 因素 | 考察内容 | 随时间变化 |
|---|---|---|
| 耗时 | 发现并实施攻击需要多长时间？ | 攻击代码一旦公开便大幅缩短 |
| 专业知识 | 需要什么水平的专家？ | 出现工具后随之降低 |
| 相关项或组件知识 | 获取目标信息有多难？ | 分析资料传播后随之降低 |
| 机会窗口 | 接触目标的机会有多少？ | 随着联网功能增加而变得更容易 |
| 设备 | 需要什么设备？ | 设备变得常见后随之降低 |
分值越低，表示攻击越容易。量产时写下“该攻击很难”的依据大多位于这五个栏位中，而车辆外部的世界一旦变化，这五个栏位都会随之变化。即使资产和损害程度保持不变，攻击本身也可能变得更容易。
04示例 1：攻击代码被公开时
这是一个用于教学的虚构系统（并非任何车辆或制造商的设计）。远程信息控制单元（TCU）连接蜂窝网络，其网络协议栈使用了一个开源库。升级管理器使用签名验证密钥校验 OTA 软件包。威胁有两项。
- TH-1 利用 TCU 网络协议栈的漏洞远程执行代码，并发送伪造的车辆控制报文（影响 Severe）
- TH-2 通过诊断端口读取 ECU 内存，提取签名验证密钥后安装伪造的升级软件包（影响 Major）
在量产时（T0），两项威胁都被评为难以实施，因为攻击者必须亲自找到 TH-1 的漏洞。现在假设 TCU 所用库中的漏洞连同攻击代码已被公开（T1）。AP-1 的数值随之变化。
| AP-1 因素 | T0 量产时 | T1 公开后 | 变化原因 |
|---|---|---|---|
| 耗时 | 17 | 1 | 自行发现需数月，改写公开代码只需数天 |
| 专业知识 | 6 | 3 | 熟练人员即可实施，无需专家 |
| 相关项或组件知识 | 3 | 0 | 所需信息现已公开 |
| 机会窗口 | 1 | 1 | 蜂窝网络连接未变 |
| 设备 | 0 | 0 | 标准设备即可 |
| 合计 | 27 | 5 | |
| 攻击可行性 | Very Low | High |
接下来是风险计算界面。
| 威胁 | 影响等级 | T0 可行性 · 风险等级 | T1 可行性 · 风险等级 | 处置决策 |
|---|---|---|---|---|
| TH-1 | Severe | Very Low · 2 | High · 5 | 保留（T0 时作出的决策，未改变） |
| TH-2 | Major | Very Low · 1 | Very Low · 1 | 保留 |
这里有两点值得注意。
第一，无需从头再来。变化的只是一条攻击路径的评估，TH-2 保持原样。只要弄清公开的漏洞涉及哪项资产和哪条攻击路径，需要复查的范围就会缩小。
第二，风险值会被重新计算，但决策不会自行改变。“保留”依然留在风险等级 5 旁边，而这一决策是在风险等级为 2 时作出的。如果没有人重新开启，文档就会继续把过时的决策当作仍然有效的决策来呈现。处置决策是承担责任的判断，不应由工具代为作出。因此，必须在流程中规定由谁、在何时进行复查。
在本示例中，我们将 TH-1 的决策改为“降低”，并将两个网络安全目标关联到该攻击路径。
- SG-1 TCU 网络协议栈中的公开漏洞须在规定期限内通过 OTA 补丁予以解决
- SG-2 来自 TCU 的报文中，只有允许的控制报文才能经网关进入车内
SG-1 中的“规定期限”，正是与 TheAutoExec 作者所追问的支持承诺相衔接之处。要说明补丁期限和支持期限，就需要有作为依据的风险评估。
05示例 2：通过 OTA 增加功能时
第二个信号并非来自外部，而是来自我们自身。假设量产后通过 OTA 增加了远程启动功能（T2）。量产时的 TARA 中既没有该功能的资产，也没有相应的攻击路径。仅修正现有数值是不够的，需要新建条目。
| TARA 项 | 新增内容 |
|---|---|
| 资产 | 远程启动指令认证令牌（机密性、完整性） |
| 损害场景 | 未经授权的远程启动导致车辆被盗（Financial Major） |
| 威胁 | TH-3 未经授权的用户利用远程启动 API 的认证缺陷发送启动指令 |
| 攻击路径 | AP-3 分析应用与服务器之间的 API，伪造认证令牌并发送远程启动指令 |
| 攻击可行性 · 风险等级 | 合计 10 · High · 4 |
| 处置决策 · 网络安全目标 | 降低 · SG-3 远程启动指令仅在使用向车主签发的有效认证时执行 |
在 QNX 的调查中，79% 的受访者表示面临速度压力。功能发布越频繁，就越难把 TARA 当作一次性完成的文档。新功能的发布流程中需要有一项，确认 TARA 是否已更新。
06何时重新开启：四个信号
| 信号 | 首先确认 | TARA 中发生变化的内容 |
|---|---|---|
| 公开漏洞或攻击代码 | 是否涉及我们使用的零部件或库？ | 攻击可行性因素 → 风险等级 → 处置决策 |
| OTA 功能增加或接口变更 | 是否出现了新的资产或新的攻击路径？ | 新增资产、损害、威胁和攻击路径 |
| 实际事件或入侵迹象 | 量产时的假设是否已被打破？ | 攻击可行性、网络安全目标 |
| 终止网络安全支持的决定 | 我们选择保留的风险还要承担多久？ | 处置决策 |
发现信号与重新评估是两项不同的工作。收集漏洞信息和响应事件需要单独的体系。TARA 是记录该体系所发现的事实如何改变风险和决策的地方。
07VisualPro TARA 能做什么，不能做什么
能做什么
1在一个模块中从资产依次推进到损害、威胁、攻击路径、网络安全目标和风险处置。
2以三种方式评定攻击可行性。
3修改评估值后，风险等级会重新计算。
4通过 MCP 连接与 AI 协同工作。
不能做什么
VisualPro TARA 是记录和计算评估的工具。它不收集漏洞信息，也不进行事件响应，因此攻击代码已被公开这一事实，需要由负责人判断并录入。
08明天要确认的事项
安全负责人
- 对于每一项处置决策，能否知道它是何时作出的、当时的风险等级是多少？
- 出现公开漏洞时，能否立即找到需要查看的资产和攻击路径？
开发与产品负责人
- OTA 功能的发布流程中是否有确认 TARA 是否已更新的项目？
- 开源库是否与 TARA 中的资产相关联？
质量与法规负责人
- 流程中是否写明了重新开启 TARA 的信号、负责人和处理期限？
- 向客户承诺的支持期限是否与风险评估相符？
09结语
10常见问题
Q1每次出现漏洞，都必须从头重做 TARA 吗？
Q2攻击可行性升高时，影响等级也会改变吗？
Q3如果漏洞的 CVSS 分值很高，风险不就自然很高吗？
Q4保留风险的决策是错误的吗？
Q5应该从哪里开始？
· QNX，“Under the Hood: SDV Developer Report”新闻稿，2026年10月21日 — 查看新闻稿
· TheAutoExec，“Four-fifths of automotive software developers expect their cars to be attacked by hackers within three years”，2026年10月28日 — 阅读文章
· ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering（第 1 章 范围，第 8、13、14、15 章） — ISO 介绍页面
· UN Regulation No. 155 Cyber security and cyber security management system — UNECE 介绍页面