3. 汽车网络安全威胁 landscape
要建立有效的 R155 威胁监控与事件响应体系，第一步不是部署传感器或写规则，而是把“敌人可能从哪里来、用什么方式打、打完会留下什么痕迹”这张威胁地图画清楚。汽车网络安全威胁 landscape 就是这张地图：它把车辆从物理接口到云端服务的所有暴露点、攻击者惯用的技术路径、以及真实世界已经发生的事件串联起来，为后续的检测、分类和响应提供坐标系。
一、核心原理：攻击面、威胁类型与攻击向量的三角关系
在汽车网络安全中，攻击面（Attack Surface）指车辆电子电气架构中所有可被外部访问或影响的接口与资源总和；攻击向量（Attack Vector）是攻击者抵达并利用这些接口的具体路径；威胁类型（Threat Type）则是攻击者达成目的后表现出的行为类别，如拒绝服务、数据窃取、控制劫持、勒索等。三者不是并列概念，而是“入口—路径—后果”的因果链。
R155 法规要求制造商识别与车辆类型相关的威胁、脆弱性和攻击面，并持续监控。因此，威胁 landscape 不是一次性清单，而是随车型、软件版本、供应链和外部生态动态变化的活文档。理解这一点，才能避免把威胁建模做成“交差式表格”。
二、常见攻击面与威胁类型清单
下表把车辆全生命周期中最常见的攻击面、对应攻击向量和典型威胁类型放在一起，便于在威胁监控平台中建立映射关系。实际项目中，每个车型应在此基础上做裁剪和补充。
| 攻击面 | 典型攻击向量 | 主要威胁类型 | 监控关注点 |
|---|---|---|---|
| OBD-II 诊断口 | 物理接入、UDS 服务滥用、刷写 | 控制劫持、功能篡改 | 异常诊断会话、非授权 DID 写入 |
| 蓝牙 / Wi-Fi | 中继、重放、配对劫持、协议漏洞 | 无钥匙进入窃取、数据窃取 | 异常连接频次、信号强度突变 |
| TCU / 蜂窝链路 | 远程 API 越权、证书泄露、固件漏洞 | 远程控制、拒绝服务 | 异常 IP 会话、指令序列偏离 |
| CAN / 车载以太网 | 报文注入、洪泛、ID 伪造 | 拒绝服务、控制劫持 | 总线负载、周期抖动、未知 ID |
| OTA / TSP 云端 | 供应链投毒、配置错误、账号接管 | 勒索、数据窃取、批量控制 | 签名校验失败、异常下发批次 |
| 手机 App / 第三方 | 逆向、令牌泄露、SDK 后门 | 隐私泄露、车辆解锁 | 异常登录地、高频远程指令 |
三、典型汽车网络安全事件与趋势分析
回顾过去十年的公开事件，可以清晰看到攻击重心的迁移。2015 年 Jeep Cherokee 远程控制事件证明了通过蜂窝网络接管车辆的可行性；2016 年 Mirai 僵尸网络虽不直接针对汽车，却暴露了车联网终端弱口令的普遍风险；2020 年后，无钥匙进入中继攻击成为量产车被盗的主要手段之一；2022 年至 2024 年，针对 TSP 和 OTA 的供应链与云侧攻击显著上升，攻击者更倾向于“一次入侵、批量影响”。
趋势上呈现四个特征：第一，攻击链前移，从车内总线转向云端和供应链；第二，攻击工具化，CAN 注入设备、中继盒子在暗网可购；第三，勒索模式渗透，针对车队和充电网络的勒索开始出现；第四，AI 辅助攻击，自动化漏洞挖掘和钓鱼内容生成降低了攻击门槛。这些趋势直接决定了 R155 威胁监控不能只盯车内，必须覆盖车、云、管、端全链路。
四、误区与复盘：威胁建模常见的三个坑
- 只列接口不列路径。把 OBD、蓝牙、TCU 列成清单就结束，没有描述攻击者如何从入口走到关键 ECU，导致监控规则无法落地。
- 忽视“合法但异常”。很多攻击使用合法诊断服务和合法凭证，仅靠白名单无法发现，需要结合行为基线和上下文。
- 把威胁类型当攻击面。“拒绝服务”是后果不是入口，混淆两者会让风险矩阵失去意义。
复盘时建议用一条真实事件反向验证：从威胁类型倒推攻击向量，再倒推攻击面，检查监控点是否覆盖。例如“车辆被远程解锁”这一威胁，倒推可能是 App 令牌泄露 → 云 API 越权 → TCU 指令下发，对应监控点应覆盖异常登录、API 调用频次和 TCU 指令序列。只有形成这种闭环，威胁 landscape 才真正服务于 R155 的持续监控与事件响应。
威胁监控映射示例（YAML 片段）
threat: unauthorized_vehicle_unlock
attack_surface: mobile_app_api
attack_vector: token_leakage
monitor_points:
- cloud_api: abnormal_login_location
- cloud_api: high_frequency_unlock_cmd
- tcu: command_sequence_deviation
response: block_token_and_alert_soc