39684969
| Question | Answer |
| road vehicles becoming "rolling computers" | neue Regelungen treten in Kraft um die IT-Sicherheit von Automobilen zu gewährleisten nicht nur die Automobil-Hersteller sind hier in der Verantwortung, sondern auch Regierung und Zulieferer |
| ISO/SAE 21434 | |
| ISO/SAE 21434 - Formal Definition | Cybersecurity: schützt Komponenten vor Bedrohungen Asset: Objekt, dass einen zu schützenden Wert besitzt Damage Scenario: Negative Konsequenzen Threat Scenario: Bedrohung von Asset, das zu einem Damage Scenario führen kann Item: Komponente, die eine Funktion ausführt Component: Teil, das logisch und technisch abgrenzbar ist |
| Top 8 Types of Attacks - Automotive Industry | 1. Betriebsstörung 2. Datenlecks 3. Illegaler Handel mit Daten 4. Fahrzeugdiebstahl 5. Fahrzeugsystemmanipulation 6. Vertragsverletzung 7. Standort-Tracking 8. Kontrolle des Fahrzeugsystems |
| Potential financial Implications | |
| Attack Vectors in Automotive Industry | die meisten Angriffe richten sich auf backend server und verbundene Komponenten (z.B. Infotainmentsystem) APIs sind ebenfalls häufig Ziel von Angriffen |
| Modern Cybersecurity Approach | |
| UNECE | Weltorganisation zur Vereinheitlichung von Fahrzeugregelungen entwickelten UN R155 & UN R156 |
| 4 Vorschriften in der Automobilindustrie | UN R155 (Vorschrift für Automobil-IT-Sicherheit) UN R156 (Vorschrift zu SW-Updates) ISO/SAE 21434 (Standard zu Straßenfahrzeugen (technische IT-Sicherheit) ISO 24089 (Standard zu technischen SW-Updates) |
| UN R155 - 2 Hauptsicherheitsbereiche | Anforderungen an das IT-Sicherheitsmanagementsystem (Struktur der Organisation und Prozesse) Anforderungen an das Fahrzeug (Design der Fahrzeugarchitektur, Risikobewertung & Risikominderung) |
| ISO/SAE 21434 | DER Standard für IT-Sicherheit bei Automobilen (vorher gab es sowas nicht) recht neu (08/2021) relevant für alle Akteure in der Automobilindustrie bezieht sich auf den gesamten Lebenszyklus eines Produkts Ziel: allgemeines Verständnis für IT-Sicherheit erreichen & Minimum an Anforderung festlegen |
| Cyber Security Management System (CSMS) | Def.: systematischer risikobasierter Ansatz für organisatorische Prozesse, Verantwortlichkeiten und Kontrolle (UN R155) geht auch über die eigene Organisation hinaus (z.B. Zulieferer) |
| PDCA model | |
| Maturity level of Cybersecurity | |
| IT-Sicherheit in anderen Organisationsprozessen | IT-Sicherheit sollte auch in bereits existierende Prozesse integriert werden Dokumentation hierbei ist notwendig |
| Weak vs Strong Cybersecurity Culture | |
| IT-Sicherheit fördern | Security Champions: geben ihr Wissen an Kollegen weiter, Vorbildrolle Austausch & Dokumentation von Kollegen Aus IT-Sicherheistvorfällen lernen |
| Produkt - Lebenszyklus | in jedem Abschnitt können neue Schwachstellen entstehen |
| Verteilte Entwicklung | man kann nicht ganz alleine ein Auto bauen, an der Entwicklung sind mehrere Parteien(Zulieferer, Kunden) beteiligt Zusammenarbeit scheitert meistens aufgrund von Missverständnissen |
| TARA - threat analysis and risk assessment | Bedrohungsanalyse und Risikobewertung Bedrohungen identifizieren und allgemeine Risiken bewerten |
| TARA - Methoden | 1. Ziel identifizieren (Schadensszenarien) 2. Bedrohungsszenarien identifizieren 3. Auswirkung bestimmen 4. Verlauf einer Attacke analysieren 5. Wahrscheinlichkeit einer Attacke bewerten 6. Risiko einer Attacke bestimmen 7. Risikobehandlung wählen |
| Threat modeling - 4-step approach | |
| Relevanz für IT-Sicherheit - RQ-06-02 | durch Diagramme, Brainstorming oder Einholen einer Expertenmeinung |
| Item Definition - WP-09-01 | Alle Informationen zum Produkt finden und verstehen (Architektur, Funktionalität, Abhängigkeiten, Interaktionen, Umgebung...) |
| Asset Identifikation - Clause 15.3 | sind relevant für IT-Sicherheit Kompromittierung würde eines oder mehrere der Schutzziele, sowie den Ruf des Unternehmens schädigen vor allem kritische Funktionen des Produkts |
| Asset Identifikation - Bewertungskriterien | |
| Asset Identifikation - Where are values? | während der Nutzung in der SW auf der HW an dem Standort, an dem Gerät ist während Datenübertragung |
| Bedrohungsszenarien identifizieren | mögliche Bedrohungen identifizieren durch Recherche, Kreativität, Erfahrung, Austausch Fokus: lösbare Bedrohungen |
| Angriffsflächen | Netzwerk (alles was mit dem Netzwerk verbunden ist) Anwendungen (jede Schwachstelle, die ausgenutzt werden könnte, um an Daten zu gelangen) Menschen (alle, die mit dem Produkt zu tun haben) |
| STRIDE Modell | |
| OWASP | OWASP Top 10 enthält die wichtigsten Sicherheitsrisiken für Webapplikationen OWASP Application Security Verification Standard (ASVS) enthält eine Liste von Anforderungen für sicherer Entwicklung und deren Überprüfung |
| HARA vs TARA | HARA: zufällige oder Systemfehler TARA: vorsätzlicher Fehler (durch Angreifer) |
| Auswirkung bestimmen | basierend auf Schadensszenarien wie groß sind die Auswirkungen auf die Assets Severe (schwerwiegend) Major (groß) Moderate (moderat/mäßig)) Negligible (vernachlässigbar) |
| Verlauf einer Attacke analysieren | basierend auf Bedrohungsszenarien Nutzung von Bibliotheken (CAPEC, MITRE's) |
| Wahrscheinlichkeit einer Attacke | Kriterien von ISO/SAE 21434: Benötigte Zeit Expertise Wissen über das System Benötigte Ausrüstung Zeitfenster für Angriff CVSS kann ebenfalls zur Bestimmung verwendet werden |
| Risiko einer Attacke | kombiniert alle vorherigen Informationen Cybersecurity Assurance Level (CAL) fokussiert sich auf kritische Assets (hohe Auswirkung, leicht auszunutzen) |
| Risikobehandlung | nicht alle Schwachstellen können direkt oder vollständig beseitigt werden manchmal nur Entschärfung möglich oder die Auswirkungen sind vernachlässigbar |
| Risikobehandlung - 4 Typen | Mitigate/Reduction (Abschwächen/Reduzieren) Eliminate/Avoidance (Beseitigen/Vermeiden) Transfer/Sharing (Übertragen/Verteilen) Accept/Retention (Akzeptieren/Beibehalten) |
| TARA - Ergebnis & Forderung | Ergebnis: Definierte Kontrollmechanismen auf Risiken im System abbilden Forderung: Definierte Handlungsmaßnahmen auf Risiken außerhalb des Systems abbilden |
| ISO/SAE 21434 - Clause 10 | alle IT-Sicherheitsanforderungen auf allen Produktionsebenen |
| ISO/SAE 21434 - Clause 8 | |
| ISO/SAE 21434 - Clauses 8.5 & 8.6 | Schwachstellenanalyse (8.5) und Schwachstellenmanagement (8.6) |
| Schwachstellenmanagement - CVE, CWE, CVSS | CVE: Liste von gefundenen Schwachstellen in SW CWE: Liste von Fehlern, die zu den gefundenen Schwachstellen in CVE geführt haben CVSS/CWSS: Systeme zur Berechnung des Schweregrads von CVEs und CWEs |
| CVSS V3.1 - Metrics | |
| Cybersecurity Incident Response Plan | eine geeignete Reaktion bei einem cybersecurity Vorfall kann den Schweregrad einer Attacke abmildern (geringer Kosten, schnellere Wiederaufnahme des Betriebs) für jeden Vorfall sollte es einen geeigneten Plan geben |
| Cybersecurity Incident Response Plan - RQ-13-01 | 1. Abhelfende Maßnahmen 2. Kommunikationsplan 3. Verantwortlichkeiten für abmildernde Maßnahmen 4. Informationen über den Vorfall sammeln 5. Dokumentation der Gegenmaßnahmen 6. Definieren von Kriterien und Maßnahmen um Vorfall zu beenden |
| Erholung nach einem IT-Sicherheits-Vorfall | |
| Verification & Validation | |
| ISO/SAE 21434 - Cybersecurity Testing | Testen, um noch vorhandene Schwachstellen zu minimieren (RC-10-12) Penetrationstests um zu bestimmen, ob IT-Sicherheitsziele erreicht wurden (RQ-11-01) |
| Cybersecurity Testing - Techniken | |
| Penetration Testing | |
| Audit vs Assessment | wird der Prozess richtig ausgeführt vs passt der Prozess zu meinen Zielen findet Fehler, verbessert damit Sicherheit des Produkts, spart Geld und Zeit, erhöht Vertrauen in das Unternehmen |
| Cybersecurity Assessment Report - WP-06-03 | bewertet IT-Sicherheit eines Objekts am Ende eines Projekts, ansteigend, die ganze Zeit Ergebnisse: akzeptiert, bedingt akzeptiert, abgelehnt Optional: Verbesserungsvorschläge Nutzbar um veröffentlich zu werden, vor Gericht |
| ISO/SAE 21434 - Clause 11 | IT-Sicherheits-Ziele, -Forderungen, -Voraussetzungen sind vor Produktionsstart für alle Komponenten erfüllt sehr schwierig umzusetzen Begründung ist notwendig um Clause zu erfüllen |
| UN R156 | organisatorische Anforderungen Produktanforderungen Fokus: over-the-air-updates Ziel: up-to-date bleiben da 100%ige Sicherheit nie gewährleistet ist, neue Funktionen & Fehlerbehebung |
| ISO 24089 | steht in Beziehung zu UN R156 Dokumentation, Sicherheitsmaßnahmen vor und während Updates, Back-Up-Pläne, Funktionsfähigkeit des Systems |
Want to create your own Flashcards for free with GoConqr? Learn more.