Revisiting Automotive Attack Surfaces: a Practitioners’ Perspective 原文链接：https://ieeexplore.ieee.org/document/10646688

一、研究背景与核心问题

1. 现代车辆的安全挑战：攻击面与 IVN 拓扑双重复杂化 随着车辆智能化、网联化发展，传统 “封闭硬件” 模式被打破，安全风险呈指数级增长，具体体现在两方面：
• 外部攻击面扩展：车企为车辆新增远程控制（如远程开门、预热）、OTA 更新、车载浏览器等功能，导致攻击入口从传统的 OBD-II 端口，扩展到 Wi-Fi、蓝牙、官方 APP、后端服务器等，且这些新入口缺乏成熟的安全防护标准
• 内部 IVN 拓扑复杂化：为支撑 ADAS（高级辅助驾驶）、IVI（车载信息娱乐）等功能，ECU（电子控制单元）数量激增，IVN 拓扑从 “两总线” 升级为 “网关分段架构”（如 infoCAN、bdCAN 等域总线通过网关隔离），甚至未来的 “区域架构”，传统攻击路径（如直接 CAN 注入）因网关防护失效，新的跨域攻击路径难以识别

2. 现有法规存在缺陷 当前汽车网络安全核心法规（WP29 R155e、ISO 21434、GB/T 40861-2021）虽试图建立行业基准，但通过专家访谈发现，其在实操中存在两大致命缺陷：
• 缺陷 1：威胁案例质量差，缺乏汽车专属属性 现有法规的威胁多复制自 IT 领域（如通用网络攻击），未覆盖汽车高频、专属威胁（如 IVI 浏览器漏洞、远程控车 APP 密钥泄露）；且威胁描述仅包含 “攻击现象”，缺少攻击路径（AD）、根本原因（RC）、安全测试方法（STA）、缓解措施（MG） 等关键维度，专家对 WP29 R155e 和 GB/T 的威胁质量评分仅 2.77 分、2.72 分（满分 5 分），其中 STA 维度评分最低（分别为 1.38 分、1.76 分）
• 缺陷 2：TARA 流程低效，缺乏自动化与客观标准 ISO 21434 仅提供 TARA 的 “高层方法论”（如 “识别资产→分析威胁→评估风险”），但未定义具体执行标准：
• 资产识别难：依赖车企提供的文档，常因信息不全需反复沟通，占 TARA 总耗时 50% 以上（如专家 P14 反馈 “资产识别耗时超 TARA 一半”）；
• 结果一致性差：风险评估依赖主观经验，同一产品的整车厂与供应商 TARA 结果差异显著（如专家 P12 提到 “我们与供应商的 TARA 结果完全不同”）；
• 自动化程度低：攻击路径分析、风险计算全靠人工，无工具支持（15 位专家均反馈 “TARA 依赖个人经验，无法自动化”）。

二、研究方法

第一步：专家访谈研究（核心数据来源）

• 访谈对象：15 位汽车网络安全专家，来自 9 家企业（8 家整车厂、9 家第三方供应商，含 2 家兼具双重角色的企业），平均安全领域经验 6 年，含 2 位超 10 年资深专家（P1：10 年，P14：20 年），角色涵盖 TARA、安全测试、项目管理、法规研究，确保视角全面；

• 访谈流程：
1. 协议设计：基于 3 大目标（识别行业挑战、评估法规有效性、收集改进建议），先从现有法规（ISO 21434、WP29 R155e 等）提取 38 个初始威胁，设计访谈提纲，经 10 轮预访谈优化后定稿；
2. 实施过程：2022 年 11 月 - 2023 年 3 月，通过线上会议开展，记录屏幕与音频，访谈时长 38 分钟 - 2 小时 52 分钟，会后将初步整理的威胁数据库反馈专家确认；
3. 数据分析：采用 “迭代开放编码法”—— 全体作者制定初始编码本，2 位作者独立编码，解决冲突后更新编码本，直至无新代码出现，最终提炼 20 条关键见解；

• 伦理考量：访谈前明确数据用途与匿名化规则，获专家及企业授权，转录文本剔除敏感信息（如企业名称、车型），数据存储符合 GDPR 规范。

• 流程：半结构化访谈（2022.11-2023.3）→ 转录文本→ 迭代编码→ 验证威胁数据库。

第二步：核心解决方案设计（针对访谈痛点）

访谈发现的 “威胁库质量低”“TARA 自动化不足” 两大痛点

（1）改进的汽车威胁数据库：分层 + 知识图谱，填补行业空白

• 分层架构细节

• 威胁知识图谱（TKG）：为解决 “威胁孤立无关联” 问题，用三元组（头实体，关系，尾实体）表示威胁间逻辑，如（C6.IVI，易受… 威胁，C6.USB）（IVI 的 USB 接口易引发 IVI 安全问题）、（C14. 官方 APP，依赖… 认证，C15. 后端服务器）（APP 需与服务器认证，服务器漏洞影响 APP 安全），共构建 109 个三元组，辅助 TARA 时的 “跨组件威胁分析”；

• 数据库优势：较现有法规，数量上从 38 个威胁扩展到 119 个，质量上补充了汽车专属威胁与 STA/MG 细节，结构上通过 TKG 实现 “关联分析”，完整数据库可通过作者提供的链接获取。

（2）CarVal 工具：基于 Datalog 的 TARA 自动化工具

挑战

1. 无 IVN 专属攻击推理规则：传统工具依赖 IT 网络人工制定的规则，缺乏适配 IVN 的推理逻辑。

2. IVN 拓扑复杂（网关分段 + 总线广播）难以建模：企业网络中节点均视为 “统一规则主机”，而 IVN 由多配置 ECU、广播型总线（如 CAN）及网关组成，传统工具无法精准表征。

3. 传统工具仅计算攻击可行性，忽略汽车场景攻击影响：现有方法仅评估攻击实施的可能性，未结合汽车安全标准（ISO 21434）要求的 “攻击影响”，输出结果不完整。

解决方案

1. 基于 15 位汽车安全专家访谈构建的威胁数据库，提炼 IVN 专属推理规则（如 “ECU 代码执行→总线广播”、“网关转发漏洞→跨域攻击”），覆盖 ECU 交互、总线特性等车载场景特性。

2. 提出 “总线广播模型 + 网关星型模型” 混合架构 —— 前者适配 CAN 总线 “一发多收” 的广播特性，后者描述网关对不同域总线（如 infoCAN、bdCAN）的隔离与转发逻辑，实现 IVN 拓扑的 Datalog 格式转化。

3. 在风险评估模块中，同时计算 “攻击可行性（F）” 与 “攻击影响（I）”，并参考 ISO 21434 构建风险值（R）计算模型，覆盖汽车场景的安全需求。

三、复现

项目地址：https://github.com/VehicleCyberSec/CarVal

环境安装

安装必要依赖

安装XSB环境

添加环境变量

安装mulval

CarVal使用

Datalog

前言 · Prolog 教程

当我发现prolog奇葩又瑰丽的一面的同时，也发现，根本找不到给人读的学习资料（英语资料虽然有，但是也比较...old school），好不容易找了个发现还是用的不知道什么编译器，于是自己边看边编排，搞了这些

https://zhzluke96.github.io/prolog-tut-cn/

Datalog

Datalog是一种数据查询语言，专门设计与大型关系数据库交互[1]，语法与Prolog相似。正如SQL只是一个规范，Transact-SQL、PL-SQL是其具体实现一样；Datalog也是一个规范，bddbddb[2]、 DES[3]、OverLog[4]、Deals[5]等都按照Datalog的语法实现了自己的语言，所以Datalog没有特定的执行环境（如Java之于Java虚拟机，Prolog之于SWI-Prolog）。

https://zh.wikipedia.org/wiki/Datalog

南大软分课程笔记｜14 基于Datalog的静态分析

https://blog.wohin.me/posts/nju-program-analysis-14/

定义

Datalog 是一种用于逻辑推理（Logic Programming）**的语言，它是 Prolog 的一个子集，主要用于表示事实（facts）和规则（rules），并通过逻辑推理自动生成结论（inference）。

• SQL 是“关系数据库的查询语言”；

• Datalog 是“关系数据库的逻辑推理语言”。

• 网络安全推理（MulVAL、CarVal）

• 静态程序分析

• 访问控制策略分析

• 语义网络 / 知识图谱推理

• 数据流分析与逻辑约束求解

组成结构

规则语法：

表示：如果 body1、body2、body3 都为真，则 head 为真。

一个简单示例

Datalog 与 Prolog 的区别

代码文件梳理

carval_infer.sh