A cybersecurity operations approach for vehicles based on holistic monitoring

Fahrzeuge entwickeln sich zu vollständig programmierbaren, hochautomatisierten und umfassend vernetzten Systemen. Doch Vernetzung und Softwarewachstum bergen auch das Risiko von Cyberangriffen. Jede Schnittstelle kann als Angriffsvektor dienen, und jede Zeile Code kann eine Schwachstelle darstellen, die Angreifern die Fernsteuerung von Fahrzeugfunktionen ermöglicht. Rechtliche Rahmenwerke wie die UN-Regelung 155 und ISO/SAE 21434 haben Cybersicherheit im Entwicklungsprozess etabliert, doch Angreifer entdecken und nutzen weiterhin neue Schwachstellen aus. Es reicht daher nicht aus, Cybersicherheitsrisiken nur während der Entwicklung zu berücksichtigen. ... mehrDiese Dissertation legt den Fokus auf die Cybersicherheit während des Betriebs. Um die Sicherheit von Fahrzeugen über ihren gesamten Lebenszyklus hinweg zu gewährleisten, sind Überwachungs-, Analyse- und Reaktionsfähigkeiten erforderlich, und Risikobewertungen müssen kontinuierlich aktualisiert werden. Die sechs wesentlichen Beiträge (1)-(6) befassen sich mit den damit verbundenen prozessualen und technologischen Herausforderungen.

Ein Vergleich von ISO/SAE 21434 mit anderen Cybersicherheitsprozessen zeigt mehrere Lücken in der Cybersicherheit während des Betriebs auf, insbesondere beim Umgang mit Vorfällen. Ein neuer Betriebsprozess (1) wird vorgeschlagen, um diese zu schließen.
Die obligatorische Risikoanalyse während der Entwicklung hat bislang die Cybersicherheitsüberwachung nicht berücksichtigt. Diese Arbeit schlägt daher eine risikoorientierte Überwachung (2) vor. Geeignete Anforderungen werden bereits in der Risikoanalyse definiert, um eine frühzeitige Erkennung kritischer Angriffspfade zu ermöglichen. Die Integration formalisierten Wissens über das Verhalten von Angreifern und daraus resultierende Beobachtungsgrößen erlaubt die methodische Auswahl geeigneter Maßnahmen.

Technologisch konzentrieren sich verwandte Arbeiten auf netzwerkzentrierte Maßnahmen wie Intrusion Detection Systeme (IDS). Die Bewertung der Cybersicherheitslage der Fahrzeuge beschränkt sich daher auf isolierte, technische Informationen. Diese Arbeit schlägt einen ganzheitlichen Ansatz vor, der den Betriebskontext des Fahrzeugs (3) einbezieht, Informationen drahtlos (4) in einem Vehicle Security Operations Center (VSOC) sammelt und dort einen Knowledge Graph (KG) mit umfassendem Datenmodell einsetzt (5). Die Verknüpfung technischer Informationen mit Fahrzeugvarianten, dem Betriebskontext, dem Fahrzeugnetzwerk, bekannten Risiken, Schwachstellen und vergangenen Vorfällen schafft die Grundlage, um schnell zu beurteilen, ob ein Vorfall vorliegt und welche Bedrohungen davon ausgehen.

Überwachung und Analyse zielen letztendlich darauf ab, geeignete Gegenmaßnahmen zu ermitteln. Zwar sind Software-Updates die unverzichtbare endgültige Lösung, doch kann ihre Entwicklung Monate dauern. Da sicherheitskritische Bedrohungen eine rasche Eingrenzung erfordern können, ermöglichen die Vorab-Typgenehmigung und drahtlose Aktivierung von Reaktionsmaßnahmen (6), wie die Unterbrechung der Internetverbindung, eine sofortige und gezielte Reaktion.

Zukünftige Arbeiten können auf diesen Beiträgen in zwei wesentlichen Richtungen aufbauen. Die Datenmenge und -strukturierung im KG bieten vielfältige Möglichkeiten für künstliche Intelligenz (KI), den Arbeitsaufwand der Analysten zu verringern, wobei spezifische Herausforderungen wie das Vertrauen in KI-Entscheidungen bestehen. Darüber hinaus schafft die Erfassung des Betriebskontexts die Grundlage für die Integration von Safety- und Cybersicherheitsüberwachung. Eine gemeinsame Kontextualisierung von Unzulänglichkeiten, Cybersicherheitsvorfällen und Ausfällen ist derzeit noch wenig erforscht, aber für hochautomatisierte Fahrzeuge besonders wichtig.

Nachdem Software und Vernetzung in Fahrzeugen unverzichtbar geworden sind, bleibt die Cybersicherheit ein zentraler Forschungsbereich, da Angreifer stets versuchen werden, Schwachstellen zu finden und auszunutzen. Die Ergebnisse dieser Arbeit bilden eine Grundlage für die Absicherung von Fahrzeugen nicht nur bei ihrer Einführung, sondern über ihren gesamten Lebenszyklus.

Vehicles evolve towards fully programmable, highly automated, and extensively connected systems. Yet, connectivity and the rise of software also pose the risk of cyberattacks. Each external interface can serve as an attack vector, and every line of code can introduce a vulnerability that could enable attackers to control vehicle functions remotely. Legal frameworks such as UN Regulation 155 and ISO/SAE 21434 have established cybersecurity engineering in the development process, but attackers continue to discover and exploit new vulnerabilities in vehicles. Considering cybersecurity risks only during development is therefore not sufficient. ... mehrThis dissertation shifts the focus to cybersecurity during operation. To keep vehicles secure throughout their lifecycle, monitoring, analysis, and response capabilities are required, and risk assessments must be continuously updated. The six key contributions (1)-(6) address the associated challenges of a procedural and technological nature.

A comparison of ISO/SAE 21434 with other cybersecurity processes reveals several gaps in cybersecurity during operation, particularly in incident handling. A new operational process (1) is proposed to improve ISO/SAE 21434, especially for the workflow of incident and vulnerability handling. The mandatory risk analysis conducted during development has, to date, not taken cybersecurity monitoring into account. Instead of implementing monitoring measures in the vehicle without methodological support, this thesis proposes risk-focused monitoring (2). Suitable requirements are defined in the risk analysis to enable early detection of critical attack paths. Furthermore, by integrating formalized knowledge about attacker behavior and resulting observables, the approach allows to methodically select appropriate measures.

Technologically, related work focuses on network-centric measures, particularly intrusion detection systems (IDS). Assessing the vehicles' cybersecurity situation is therefore limited to isolated information, such as IDS alerts. In contrast, this work proposes a holistic approach that includes the vehicle's operational context (3), collecting information from the vehicles over the air (4) in a Vehicle Security Operations Center (VSOC), where a Knowledge Graph (KG) with a comprehensive data model links in-vehicle information with development documents and the operating process (5). Connecting technical information to vehicle variants, operational context, the vehicle network, known risks, vulnerabilities, and past incidents, establishes the necessary background to quickly and thoroughly assess whether an incident exists and what threats it poses.

Monitoring and analysis ultimately strive to identify appropriate responses. While updates are the obligatory final solution, their development may take months. As safety-critical threats may require rapid containment, pre-homologation and over-the-air activation of incident responses (6), such as disconnecting the vehicle's internet connection, provide an immediate and targeted response capability.

Future work can build on these contributions in two key directions. The volume and structure of data in the KG offer diverse opportunities for artificial intelligence (AI) to reduce analyst workload, with additional challenges specific to safety-critical and variant-rich systems such as trust in AI decisions. Furthermore, capturing the operational context for cybersecurity lays the groundwork to integrate safety and cybersecurity monitoring. A shared contextualization of insufficiencies, security issues, and failures, is currently underexplored but particularly important for highly automated vehicles.

Since software and connectivity have become indispensable in vehicles, cybersecurity remains a key area of research, as attackers will always seek to identify the weakest point to exploit. Overall, the outcomes of this work provide a foundation for securing vehicles not only at the time of their release, but throughout their entire lifecycle in the face of the ever-evolving threat landscape.