Kommen Zero-Day-Bedrohungen nun auch in Fahrzeuge?

00:00 Einführung in die Cybersicherheit von Fahrzeugen

Heute nehmen wir in der Sendung „ The Garage “ live auf der AutoTech Detroit gemeinsam mit VicOne auf. VicOne ist die Automobiltochter des führenden Cybersicherheitsunternehmens Trend Micro. In der heutigen Masterclass zum Thema Fahrzeug-Cybersicherheit sprechen wir über die Art der Cybersicherheitsbedrohungen für Fahrzeuge und darüber, wie SDVs die Landschaft der Cyberbedrohungen verändern können. Wir sprechen über einzigartige Programme, mit denen VicOne und Trend Micro Unternehmen dabei unterstützen, Zero-Day-Bedrohungen für ihre Produkte und Fahrzeuge aufzudecken, und sogar darüber, inwiefern „ AI “ in der Cybersicherheit ein zweischneidiges Schwert ist.

Los geht’s.

00:45 Vorstellung des Gastes

Willkommen bei „ The Garage “. Ich bin John Heinlein, Chief Marketing Officer bei Sonatus. Wir senden live von der AutoTech in Detroit, und unser Gast heute ist William Dalton von VicOne.

Willy, willkommen in der Garage. Es ist toll, hier zu sein. Wir freuen uns riesig, dich kennenzulernen und dich in unserem Podcast zu haben. Stell dich doch bitte zunächst einmal vor.

Erzählt uns doch etwas über euch und euren Werdegang. Ja. Mein Name ist William Dalton. Ich freue mich sehr, diese Woche hier bei AutoTech zu sein und mit euch zu sprechen.

Mein beruflicher Werdegang ist sehr vielfältig. Ich habe als Ingenieur und Softwareentwickler angefangen. Diese Tätigkeit übte ich sieben Jahre lang im Bereich der Auftragsfertigung von Elektronik aus. In dieser Zeit haben wir Fertigungssteuerungssysteme entwickelt.

Und dann kam ich 2004 als Datenbankadministrator zu Trend Micro. Nun, das ist mittlerweile schon fast mehr als zwanzig Jahre her. Ja. Mehr als zwanzig Jahre her.

Und fast jedes Jahr oder alle zwei Jahre habe ich meine Aufgaben in der einen oder anderen Form gewechselt. Ich habe im Ingenieurwesen angefangen, bin dann ins technische Management gewechselt und habe bei VicOne an einigen globalen Projekten mit unserem jetzigen CEO, Max Cheng, gearbeitet. Und alle zwei Jahre wechselte ich in diesen zwanzig Jahren von technischen über operative bis hin zu geschäftlichen Aufgabenbereichen. Vor zweieinhalb Jahren hatte ich dann die Gelegenheit, gemeinsam mit Max bei VicOne zu arbeiten, einer Tochtergesellschaft von Trend Micro, die sich auf die Lösung von Problemen im Automobilsektor konzentriert.

Das ist toll. Wir werden gleich noch mehr über VicOne sprechen, aber zuerst musst du uns eine lustige Anekdote über dich erzählen. Klar. Ich weiß nicht, ob das wirklich lustig ist.

Ich glaube, das machen heutzutage viele Leute, aber ich braue tatsächlich mein eigenes Bier, was für jemanden aus Irland wohl nicht ungewöhnlich ist. Aber ich habe meine eigene Kneipe und betreibe dort Upcycling. Jedes Mal, wenn etwas weggeworfen werden soll, versuche ich, eine Verwendungsmöglichkeit dafür zu finden. Und im Laufe der Jahre habe ich so verschiedene Dinge für die Kneipe angesammelt.

Manches davon ist ein Bett, manches ein altes Möbelstück. Und es ist eine Sammlung von … es ist in gewisser Weise ein Sammelsurium. Und ich habe regelmäßig Freunde zu Besuch.

Und deshalb musste ich einen Weg finden, Bier kostengünstiger herzustellen, einen guten Gesprächsstoff zu haben und dabei auch noch etwas zu lernen. Also, ja, eine kleine Anekdote über mich. Du hast uns davon Bilder gezeigt, und wenn du über Upcycling sprichst, können sich die Leute das oft nicht so recht vorstellen. Aber wenn du uns ein Bild schickst, bauen wir es in die Folge ein, damit die Leute es sehen können.

Das ist eine brillante Holzarbeit, ein wunderschöner Raum, um den jeder beneiden würde. Ich habe diese Anekdote, die sich aus dieser lustigen Tatsache ergibt, bereits früher in diesem Jahr erzählt, aber ich muss sie einfach noch einmal anführen: Als ich vor vielen Jahren einen Job in Oregon in den USA hatte, habe ich gelernt, Bier zu brauen. Und so habe ich einige Jahre lang zu Hause Bier gebraut, und das macht richtig Spaß, weil ein bisschen Wissenschaft dabei ist. Stimmt’s?

Da gibt es eine Menge Fehler. Ja. Eine Menge Fehler. Das Gute am Brauen im Vergleich zum Destillieren – was ja an den meisten Orten illegal ist – ist, dass man sich dabei nicht umbringen kann.

Es wird einfach schlecht schmecken. Es wird schlecht schmecken. Ja. Beim Destillieren kann man sich umbringen, wenn man … Meine Freunde sind noch am Leben.

Genau. Aber sie hatten ein paar schwierige Trainingseinheiten.

Sehr gut. Sehr gut.

03:49 Hintergrundinformationen zu VicOne

Großartig. Erzählen Sie uns doch bitte etwas über VicOne, die Anfänge des Unternehmens und Ihre Schwerpunkte.

VicOne wurde also im Mai 2022 gegründet, baut jedoch auf langjähriger Forschung auf, die Trend Micro im Automobilsektor betrieben hat. Und eine der Erkenntnisse – wissen Sie, bereits 2017, als sie mit dieser Forschung begannen – war, dass die Herausforderungen im Bereich der Cybersicherheit, insbesondere angesichts des Aufkommens von SDV, der Elektrifizierung und sich ändernder Vorschriften, so groß sind, dass sich der Weg zur Lösung von Cybersicherheitsproblemen im Automobilsektor stark von dem im Unternehmensbereich unterscheidet. Richtig. Und man traf die bewusste Entscheidung, in diesen Sektor zu investieren und ein eigenständiges Unternehmen zu gründen, das mit einer anderen Geschwindigkeit arbeitet, eine andere Art der Kundenbindung pflegt und tatsächlich eine andere Produktpalette anbietet.

Also haben wir eine ganze Reihe von, nun ja, fundierten Marktanalysen erstellt und dabei mit verschiedenen Proof-of-Concepts und Proof-of-Values sowie unterschiedlichen Kundenprofilen gearbeitet, um tatsächlich eine Reihe von Lösungen zu entwickeln, die für den Automobilsektor geeignet sind. Und dann haben wir das im Mai 2022 auf den Markt gebracht. In dieser Zeit haben wir ein phänomenales Wachstum in Bezug auf Produktänderungen und Anpassungen an die Kundenbedürfnisse verzeichnet. Denn dabei spielt immer auch das Element des Co-Designs eine Rolle.

Selbstverständlich. Ganz gleich, ob dies im Fahrzeug integriert ist oder extern erfolgt, ob es in den Prozess oder unsere betrieblichen Abläufe eingebunden ist oder Ihren regulatorischen Vorgaben und Anforderungen entspricht. Es handelt sich also im Allgemeinen um einen sehr maßgeschneiderten Ansatz. Und im Zuge der Markteinführung dieser Produkte sind zahlreiche Partnerschaften entstanden.

Alles, wissen Sie, vom SDV-Bereich über Onboard- bis hin zu Offboard-Systemen, aber auch Lösungsanbieter, die je nach den Bedürfnissen der Kunden eine breite Palette an Funktionen bereitstellen. Es war also eine spannende und rasante Reise. Genau. Und bisher eine sehr interessante Reise, bei der es darum ging, die Probleme der Kunden zu verstehen und zu lösen.

Das ist toll.

05:42 Der Übergang zu softwaredefinierten Fahrzeugen

Also, wissen Sie, in diesem Podcast sprechen wir viel über SDV und Fahrzeugsoftware. Und wenn ich mit Kunden oder Leuten aus der Branche spreche, gibt es manchmal eine gewisse Zurückhaltung gegenüber dem Umstieg auf SDV, weil man befürchtet, dass der vermehrte Einsatz von Software eine größere Angriffsfläche schaffen könnte. Ich denke, das stimmt.

Wie sehen Sie den Wandel hin zu SDV und Cybersicherheit? Das ist etwas, das ohnehin passieren wird. Wir haben es im Unternehmensbereich bereits beobachtet. Wir haben softwaredefinierte Netzwerke, softwaredefinierte WANs, softwaredefinierte Rechenzentren und softwaredefinierte Speichersysteme gesehen.

Alles wird zunehmend softwaredefiniert. Software erobert alle Bereiche. Der Grund dafür liegt natürlich darin, dass dies enorme Effizienzsteigerungen in Bezug auf Software-Bereitstellungszyklen, Bereitstellungsmechanismen, die Häufigkeit und die Iterationen mit sich bringt, mit denen man seine Produkte aktualisieren und sicher halten oder weitere Funktionen hinzufügen kann – und das bei einem Kostenprofil, das Sinn ergibt. In der Praxis ist das also sehr flüchtig.

Stimmt’s? Je nachdem, was man gerade braucht, nutzt man also die Ressourcen, die erforderlich sind, um diese Anforderungen zu erfüllen oder aufrechtzuerhalten. Das ist also in vielerlei Hinsicht wesentlich kosteneffizienter. Das wird also passieren.

Es ist so, und wie Sie jetzt sehen: Die Anforderungen an Elektrofahrzeuge bestehen darin, dass sie regelmäßige Software-Updates benötigen, um Anpassungen vorzunehmen. Und tatsächlich ermöglicht diese Änderung der Architektur, dass nach Abschluss der Fahrzeugproduktion neue Änderungen in das Fahrzeug integriert werden können. Das erfordert eine grundlegende Abkehr von der traditionellen Art der Softwarebereitstellung, bei der es eine starke Kopplung zwischen Software und Hardware gibt. In diesem Fall abstrahiert man einen Großteil der Software, die tatsächlich unabhängig läuft, und verfügt dann über eine Abstraktionsschicht zur Hardware.

Die Vorteile, die sich daraus nicht nur für die Automobilhersteller, sondern auch für die Verbraucher ergeben, sind also enorm, und genau das werden sie einfordern. Es wird also eine vom Verbraucher getriebene Entwicklung sein. Das ist ein wirklich interessanter Punkt, den Sie da ansprechen – die Möglichkeit von Updates –, denn einige der bekanntesten Fahrzeug-Hacks, wie zum Beispiel der Hack beim Jeep Cherokee, den viele kennen, betreffen keine softwaredefinierten Fahrzeuge.

Das sind herkömmliche Fahrzeuge. Da sagt man sich dann: „Oh Gott, wenn ich ein softwaredefiniertes Fahrzeug entwickle, kann es gehackt werden.“ Nun, herkömmliche Fahrzeuge können zwar auch gehackt werden, aber es ist um ein Vielfaches schwieriger, ein nicht-softwaredefiniertes Fahrzeug zu reparieren.

Bei einem softwaredefinierten Fahrzeug kann man Verbesserungen vornehmen. Man kann Patches installieren. Man kann viel schneller auf solche Bedrohungen reagieren. Ich halte es daher für ein Missverständnis einiger Leute, dass SDVs zwar potenziell eine größere Angriffsfläche bieten, aber gleichzeitig auch eine verbesserte Fähigkeit, schneller auf Angriffe zu reagieren.

Das ist eine der Aufgaben Ihres Unternehmens.

Richtig.

08:08 Cybersicherheit in softwaredefinierten Fahrzeugen

Ja. Ich meine, wir haben zusammen mit einem unserer Partner auf der CES erfolgreich gezeigt, dass sie tatsächlich in der Lage waren, den … Flash-Speicher aus der Ferne zu aktualisieren

das Auto … und tatsächlich ein Risiko zu erkennen und zu mindern. Also, wissen Sie, das ist, das ist real. Es ist – und ich denke, um auf Ihren Punkt zurückzukommen – bei den herkömmlichen Fahrzeugen sind die Angriffe, die wir beobachten, genau dieselbe Art von Angriffen, die wir auch im Unternehmensbereich sehen.

Es handelt sich um dieselbe Art von Schwachstellen. Es sind dieselben Probleme, die wir beobachten. Sie liegen also nach wie vor auf Chip-Ebene. Sie liegen auf Software-Ebene.

Es handelt sich um nicht gepatchte Systeme und eine nicht ordnungsgemäß verwaltete Zugriffskontrolle. Es sind also dieselben Probleme, die wir im Unternehmensbereich beobachten – und tatsächlich auch im Fahrzeugbereich. Und das gilt unabhängig davon, ob es sich um softwaredefinierte oder herkömmliche Systeme handelt. Okay.

Okay.

08:59 Einführung von Cybersicherheitslösungen

Wenn Sie also Ihre Lösungen bereitstellen – erfolgen diese in der Cloud, im Fahrzeug oder in einer Kombination aus beidem? Erzählen Sie uns doch bitte etwas darüber. Sie kommen also in allen Bereichen zum Einsatz.

Wir nutzen also sowohl Onboard- als auch Offboard-Verfahren. Und wir halten das für wirklich notwendig, denn wenn man nur Off-Board-Maßnahmen ergreift, bedeutet das, dass man an dem Punkt, an dem das Fahrzeug von der Cloud getrennt wird – was bei einem Angriff passieren wird, da dies einer der Schritte ist, die Angreifer unternehmen werden –, die Kontrolle verliert. Indem die Lösungen jedoch im Fahrzeug eingebettet sind, kann man tatsächlich ein gewisses Maß an Kontrolle aufrechterhalten, um solche Angriffe abzuwehren. Wir würden also unsere IDS-Lösung einsetzen.

Wir nennen es xCarbon. IDS steht für „Intrusion Detection System“ – also Einbruchserkennung. Eigentlich IDPS. Großartig. Mechanismen zur Erkennung und Abwehr von Eindringversuchen.

Großartig. Wir verfügen also über Technologie, die wir von Trend übernommen haben. Und einer der Punkte, die ich bereits erwähnt habe, als wir von Trend zu uns kamen, sind drei wesentliche Elemente, die wir mitgebracht haben: geistiges Eigentum, Fachkräfte und strategische finanzielle Unabhängigkeit. Ein Teil dieses geistigen Eigentums ist die IDPS-Technologie, die bereits seit vielen Jahren in den Rechenzentren von Unternehmen zum Einsatz kommt.

Und dabei handelt es sich tatsächlich um Wireframe, Inline-Schutz und Deep-Packet-Inspection – die Überprüfung jedes einzelnen Pakets –, um die Rechenzentren der größten multinationalen Konzerne und sogar der Automobilhersteller der Branche zu schützen. Ich glaube, wir haben acht der zehn führenden Automobilhersteller davon überzeugt, unsere IDPS-Technologie in ihren Rechenzentren einzusetzen. Diese Technologie ist bereits seit vielen Jahren im Einsatz, und wir haben Teile davon in die Fahrzeuge integriert. Wenn wir also auf der Netzwerkebene oder der CAN-Ebene agieren wollen oder uns die Host-Ebene ansehen möchten, können wir tatsächlich alle verschiedenen Arten von Angriffen im Fahrzeug erkennen.

Wenn man also anomales Verhalten betrachtet – wenn man verschiedene Signale im Fahrzeug analysiert, um die unterschiedlichen TTPs (Tools, Techniques, Practices) zu identifizieren, die von den Angreifern angewendet wurden –, kann man diese tatsächlich im Fahrzeug selbst entschärfen und unterbinden. Manchmal sind also Entscheidungen im Fahrzeug sinnvoll, manchmal hingegen Entscheidungen außerhalb des Fahrzeugs. Wenn man also eine Makrosituation im Zusammenhang mit Angriffen auf mehrere Fahrzeuge betrachten möchte, kann man das nicht mit einem einzelnen Fahrzeug tun. Richtig.

Man benötigt also eine Kombination aus diesen beiden. Und, wie ich bereits sagte, verfügen wir über unseren Mechanismus zur Erkennung von Eindringlingen, der im Fahrzeug integriert ist, um solche Vorfälle zu melden und an ein externes System weiterzuleiten. Und dank unseres IDPS können wir diese Entscheidungen tatsächlich auch direkt im Fahrzeug treffen. Außerdem verfügen wir über die Möglichkeit, Regelsätze oder Patches auf das Fahrzeug anzuwenden, ohne dass der gesamte Software-Test- und Validierungsprozess durchlaufen werden muss.

Man kann das Problem tatsächlich schon im Vorfeld abmildern – wenn man so will, nennen wir das eine „Notlösung“. Man bringt also diese Notlösung an, um sich genügend Zeit zu verschaffen, um den Test- und Verifizierungsprozess tatsächlich durchlaufen zu können. Richtig. Eine vorübergehende Abhilfemaßnahme.

Genau. Und was dann die externe Seite betrifft: Wenn man sich wiederum Entscheidungen auf Makroebene ansehen muss, würde das in der Regel in unserem Fahrzeug-SOC, xNexus, erfolgen, das, wie Sie wissen, Telemetriedaten vom Fahrzeug empfängt. Es könnte zwar alle möglichen Signale verarbeiten, aber in der Regel senden wir nur die Informationen, die notwendig sind.

Eine der Herausforderungen, mit denen OEMs derzeit konfrontiert sind, besteht darin, dass sie damit kämpfen, all diese Informationen an ein externes System zu senden – was viel Geld kostet, da sie im Grunde alles übertragen müssen und dann mithilfe von „ AI “-Modellierung im externen System versuchen, das Rauschen zu analysieren. Wir hingegen erledigen das direkt im Fahrzeug. Richtig. Und tatsächlich senden wir nur die relevanten Daten an das externe System.

Das senkt also die Kosten und verkürzt die Bearbeitungszeit für den Analysten, der sich tatsächlich damit befasst. Und wenn wir das dann noch durch unsere Fähigkeiten im Bereich der Bedrohungsanalyse ergänzen – wir verfügen über eine langjährige Erfahrung in der Bedrohungslandschaft –, dann integrieren wir diese auch in unsere Lösungen. So überlagern wir die Informationen mit den Bedrohungsdaten. Im Grunde genommen handelt es sich also um etwas, das wir in der Praxis beobachten.

Einige Angreifer haben böswillige Absichten. Wir gleichen diese Informationen dann mit den Fahrzeugdaten sowie mit Daten aus dem Schwachstellenmanagement ab. Wenn wir also die Lieferkette betrachten, stellen die Fahrzeugarchitekturen die Ressourcen dar. Anschließend führen wir eine Kreuzkorrelation zwischen der Bedrohung und der Ressource sowie den Informationen durch, die wir im Fahrzeug erfassen, und erhalten so einen umfassenden Überblick über das gesamte Geschehen.

Und dann können wir die entsprechenden Mechanismen einrichten, um uns vor solchen Situationen zu schützen. Diese Informationen leiten wir dann an den VSOC-Analysten weiter, der sie aufbereitet und an das PSIRT-Team übergibt, das das Problem im Grunde genommen entschärft und eine langfristige Lösung implementiert. Und so gehen wir im Grunde vor. Nur zur Erläuterung: VSOC steht für „Vehicle Security Operation Center“ (Fahrzeugsicherheitszentrum) und wird in der Regel vom OEM betrieben. Ja.

Jemand, der die Bedrohungen von dort aus überwacht. Ja. Man kann es als „Vehicle SOC“ bezeichnen oder auch als „Product SOC“. Mhmm. Je nachdem, auf welcher Seite der Organisation man sich befindet – wenn es eher auf der IT-Seite liegt, wird es in der Regel als „VSOC“ bezeichnet.

Was die Produktsicherheit angeht, war es so etwas wie ein Produkt-Sicherheits-Operationszentrum. Man könnte es auch als systemübergreifendes Erkennungs- und Reaktionssystem bezeichnen. Genau. Dabei werden im Grunde verschiedene Daten aus unterschiedlichen Systemen erfasst und dann in die Betriebsabläufe des OEM integriert. Das ist fantastisch.

Das wird ja langsam zu einem Meisterkurs in Cybersicherheit. Wunderbar. Ich höre hier einfach mal auf. Wir bieten auch Lösungen für den Schutz von EVSE-Ladestationen an.

Was also das Laden von Fahrzeugen angeht, wissen wir, dass dies ein weiterer Angriffspfad ist. Ganz gleich, ob es sich um eine drahtlose Verbindung handelt, ob der Angriff über die Ladeseite des Fahrzeugs erfolgt, über das Cloud-Backend, über die API-Ebene, über das IVI-System oder direkt am Fahrzeug selbst – die Angriffsfläche hat sich enorm vergrößert. Und dazu kommen noch viele neue Technologien. Richtig?

Sie sprechen also von SDV und der damit einhergehenden Abstraktion. Wir nutzen eine konsolidierte Architektur auf den Domänencontrollern der Zonencontroller, und dann kommt es zu einer Abstraktion und Trennung der Workloads. Richtig. Damit kommen also Hypervisoren und Containersicherheit ins Spiel, und all das bringt natürlich auch zusätzliche Herausforderungen mit sich.

Und damit komme ich zu dem Punkt, warum ich über die traditionellen Herausforderungen im Bereich der Fahrzeugsicherheit spreche. Und genau hier entsteht diese perfekte Sturmkonstellation: traditionelle Komponenten wie Hardware und eingebettete Software, gepaart mit dem SDV und der Technologie, die dafür erforderlich ist. Und das ist eine Chance, die nur darauf wartet, von jemandem genutzt zu werden.

14:55 Integration von Cybersicherheitslösungen

Sie haben also erwähnt, dass Ihre Lösungen manchmal in der Cloud und manchmal im Fahrzeug ausgeführt werden. Wenn wir nun kurz auf den Einsatz im Fahrzeug eingehen: Welche Arten von Ressourcen nutzen Sie … wo genau werden diese im Fahrzeug ausgeführt? Welche Arten von Ressourcen setzen Sie ein? Wir führen daher gemeinsam mit dem OEM oder dem Tier-1-Zulieferer eine Designbesprechung durch, um zu erörtern, wo dies am besten umgesetzt werden kann.

Es hängt also wirklich von der Architektur ab. Ihre Architekturen sind sehr unterschiedlich. Typischerweise findet man solche Lösungen in der TCU. Man findet sie vielleicht auch im ADAS-System oder im IVI-Bereich.

Also würden wir dann, wissen Sie, mit dem Anbieter zusammenarbeiten, um herauszufinden, wie das am besten umgesetzt werden kann. Das funktioniert in der Regel gut, und wir haben bereits zahlreiche Partnerschaften mit einigen der größten Chiphersteller aufgebaut, um eine Vorintegration zu ermöglichen. Ich nenne Ihnen mal ein Beispiel: NXP. Wir haben eine Integration mit deren GoldBox-Lösung vorgenommen.

Und im Grunde kann dies die Markteinführungszeit für Tier-1-Zulieferer und OEMs verkürzen, damit diese einige der Hardwarebeschleunigungsfunktionen implementieren und nutzen können. In manchen Fällen lässt sich dadurch sogar der Integrationsaufwand reduzieren. In der Regel ist dies für uns ein sehr schneller Prozess. Selbst wenn es sich beispielsweise um eine neue Architektur oder einen neuen Chiphersteller handelt, den wir einsetzen möchten – oder um einen SoC –, können wir dies innerhalb von zwei bis drei Wochen umsetzen.

Das ist wirklich ein toller Prozess. Und dann dauert der Integrationsprozess natürlich etwas länger, wenn man mit ihnen zusammenarbeitet, aber die Validierung erfolgt wirklich sehr, sehr schnell. Und ja, so arbeiten wir also mit OEMs und im Embedded-Bereich zusammen. Und dann habe ich einen Teil der Frage übersehen …

Es geht um die Ressourcen. Ach ja, klar. Okay. Wir haben einen sehr geringen ökologischen Fußabdruck. Das ist eines unserer Alleinstellungsmerkmale gegenüber einigen anderen Akteuren in diesem Bereich.

Wir nutzen wirklich nur die minimal erforderlichen Ressourcen, um diese Arbeitslast auszuführen, und diese kann dann direkt auf der Anwendung dort laufen. Sie lässt sich aber auch in einige der Hardwarefunktionen des Chips integrieren. Ich nehme also noch einmal NXP als Beispiel. Nehmen wir an, sie haben eine NPU – was ja auch der Fall ist.

Und wenn Sie beispielsweise eine Paketprüfung durchführen möchten und dies mit Wire-Speed tun wollen, dann besteht die Möglichkeit, einen Teil des dortigen Speicherplatzes zu nutzen, um dies tatsächlich mit hoher Geschwindigkeit zu bewerkstelligen – was einige von Ihnen vielleicht als Nachteil empfinden könnten. Wir haben also die Möglichkeit, bestimmte Hardwarefunktionen für spezifische Anforderungen zu nutzen. Aber wie gesagt, das hängt ganz vom jeweiligen Anwendungsfall und den Sicherheitsanforderungen des jeweiligen Service-Sicherheitsteams ab. Das ist ein wichtiger Punkt.

Und „ Sonatus “ macht das ebenfalls. Wir haben zum Beispiel eine Partnerschaft mit NXP und sind gemeinsam mit ihnen in der Serienproduktion. Dabei nutzen wir spezifische Funktionen wie Paketbeschleunigung und Beschleunigung der Paketweiterleitung – es ist also wirklich clever, die Ressourcen des jeweiligen Chipherstellers oder der jeweiligen Steuereinheit zu nutzen, mit der man arbeitet. Wir waren also

Als wir uns gestern unterhalten haben, und du, du

17:36 Uhr Pwn2Own

Ihr habt dieses großartige Programm, das ihr gemeinsam mit Trend Micro durchführt, um Unternehmen dabei zu helfen, Zero-Day-Bedrohungen in ihren Produkten zu erkennen.

Erzählt uns doch etwas über dieses Programm. Das ist wirklich unglaublich. Ja. Es ist eine tolle Geschichte. Es heißt „Pwn2Own“, und wir sind seit zwei Jahren die ersten, die ein spezielles „Pwn2Own“-Event für die Automobilbranche veranstalten.

Und das führen wir nun schon seit zwei Jahren jeden Januar erfolgreich in Japan und Tokio durch. Und es ist, es ist wirklich erfolgreich, was die Automobilbranche angeht. Aber ich möchte euch zunächst einen kurzen Überblick über die Geschichte von „Pwn2Own“ selbst geben. Im Grunde handelt es sich also um ein Kopfgeldprogramm, das den besten ethischen Hackern der Welt Anreize bietet.

White-Hat-Hacker. Ja. Ja. Die Guten. Ja. Und im Grunde geht es darum, im Wettbewerb Zero-Day-Sicherheitslücken aufzudecken.

18:23 Zero-Day-Sicherheitslücken verstehen

Vielleicht könnten Sie unserem Gast erklären, was eine Zero-Day-Bedrohung ist. Eine Zero-Day-Sicherheitslücke ist eine Schwachstelle, bei der die „Null“ für die Zeit bis zum Patch steht – das heißt, man muss sofort handeln, da diese Schwachstellen bisher noch nie aufgetreten sind. Ja. Es handelt sich also um neue Bedrohungen, neue Schwachstellen, die bisher noch nicht identifiziert wurden.

Und zwar entweder durch den Anbieter oder durch die breite Öffentlichkeit. Und solange diese Zeitspanne – die Zeit ab dem Nullpunkt – besteht, sind sie ausnutzbar. Und es liegt im Interesse aller, diese Zeitspanne so weit wie möglich zu verkürzen und das Risiko durch Patches so weit wie möglich zu mindern. Das ist also der Begriff „Zero-Day“.

Wir waren also nicht beim Pwn2Own-Event dabei. Die ZDI-Gruppe, die Zero Day Initiative, betreibt ein Bug-Bounty-Programm, in dessen Rahmen sie generell Exploits aufkauft. Beim Pwn2Own-Event geht es jedoch darum, Zero-Day-Exploits zu identifizieren. Und das führen wir, glaube ich, seit 2007 erfolgreich durch. Das läuft also schon seit vielen, vielen Jahren bei Trend Micro und in jüngerer Zeit auch bei VicOne für „Pwn2Own Automotive“.

Und wie ich bereits sagte: Das ist wirklich die Crème de la Crème. Um ein Beispiel zu nennen: Im vergangenen Jahr haben wir innerhalb von drei Tagen 49 Zero-Days identifiziert. Wenn man das mit der Branche insgesamt vergleicht: Im gesamten Automobilsektor wurden im ganzen Jahr 38 Zero-Days identifiziert. Dass hochmotivierte, hochqualifizierte und stark incentivierte Mitarbeiter in nur drei Tagen in einer kontrollierten Umgebung tatsächlich so viele Schwachstellen identifizieren können, lässt einige Schlussfolgerungen zu.

Erstens gibt es da draußen eine Menge „niedrig hängender Früchte“ – und tatsächlich haben wir das auch an den Ergebnissen gesehen: sehr traditionelle Risiken und bereits genutzte Sicherheitslücken.

20:14 Strategie für den Pwn2Own-Wettbewerb

Der zweite Punkt ist, dass dies gewissermaßen ein Weckruf ist, denn irgendwann werden zwei Dinge gleichzeitig eintreten, was eine dramatische Veränderung für die Branche mit sich bringen wird. Erstens werden die technischen Eintrittsbarrieren für böswillige Akteure, die diese Situation ausnutzen wollen, sinken. Und das können wir in gewisser Weise bereits beobachten.

Aber was wahrscheinlich noch überzeugender ist: Sobald sie eine Möglichkeit zur Monetarisierung gefunden haben, wird das die Spielregeln wirklich verändern. Okay? Also, um noch einmal kurz auf Pwn2Own zurückzukommen: Der Zweck von Punkt 1 ist erstens, dass wir eine Partnerschaft mit dem Anbieter eingehen.

Ein Anbieter – wie zum Beispiel Tesla, das fünf Jahre lang der Hauptsponsor von „Pwn2Own Automotive“ war – stellt den Hackern ein komplettes Fahrzeug zur Verfügung, an dem sie ihre Angriffe testen können. Übrigens dürfen sie das Fahrzeug behalten, wenn sie erfolgreich sind.

Ja. Erzähl uns doch mal von dieser Geschichte. Das ist wirklich interessant. Ja. Denn, ich meine, nun ja, zunächst einmal ist der Wiederverkaufswert eines gehackten Autos nicht gerade hoch.

Stimmt’s? Es ist also wahrscheinlich sinnvoll, ihnen das Fahrzeug zur Verfügung zu stellen, aber es ist ein guter Anreiz für sie, das zu tun. Außerdem gibt es ja EVSE-Anbieter, die ihre Komponenten zur Überprüfung einsenden. Die meisten Lösungen sind jedoch öffentlich zugänglich.

Dann versuchen sie, das System zu hacken. Und man stellt fest, dass viele von ihnen miteinander konkurrieren. Richtig? Manche von ihnen versuchen sogar bis zur letzten Minute, Schwachstellen zu finden, und hoffen, dass der Anbieter diese in der Woche zuvor nicht behoben hat, damit sie, wenn sie den Rest ausführen – also was sie tun, ist, dass sie bei der Veranstaltung auftauchen.

Sie nutzen ein Losverfahren, um zu ermitteln, wer als Erster an der Reihe ist. Sie führen ihr Skript aus, um zu demonstrieren, wie der Angriff funktioniert. Das wird von uns, also vom Anbieter, überprüft. Und wenn der Angriff erfolgreich ist, erhalten sie ein Preisgeld.

Und sie bekommen Punkte. Der Gewinner wird dann als „Meister von Pwn2Own“ bezeichnet. Es ist also ein wirklich hart umkämpfter Wettbewerb. Je nach Ergebnis vergeben wir Preisgelder von 800.000 bis zu über 1,5 Millionen. Das ist echtes, echtes Preisgeld!

Ja. Ich meine, das sind wirklich die Besten der Besten. Das sind Leute, die Schwachstellen aufspüren, die sonst niemand erkennen kann. Wirklich, wirklich hochqualifizierte Fachleute.

Und manchmal sind es Gruppen, manchmal Einzelpersonen. Es gibt also viele sehr bekannte Gruppen, die gegeneinander antreten. Es ist wie eine Rennserie, aber „Pwn2Own“ ist der Heilige Gral dieser Rennserie. Sobald wir also eine Sicherheitslücke identifiziert haben, stellt sich die Frage: Warum tun wir das eigentlich?

Stimmt’s? Die Prämie wird also tatsächlich vom Anbieter und von uns ausgezahlt. Die teilen wir uns dann auf. Und dann gehen die Rechte an dem geistigen Eigentum in unseren Besitz über.

So verstehen wir dann die verwendeten TTPs, wie der Exploit ablief – also die verschiedenen Elemente, die wir daraus in unsere Produkte einfließen lassen können, um unsere Kunden zu schützen. Anschließend arbeiten wir mit dem Anbieter zusammen, um den Offenlegungsprozess durchzuführen. Der Zweck dabei ist eine verantwortungsvolle Offenlegung. Das tun wir im Unternehmensbereich schon seit vielen, vielen Jahren erfolgreich – eine allgemein bekannte Praxis, die von allen übernommen wurde.

Richtig.

23:10 Offenlegung von Sicherheitslücken im Automobilbereich

Und in der Regel beträgt die Ankündigungsfrist neunzig Tage. Die Herausforderung in der Automobilbranche besteht darin, dass die Offenlegung mit ganz anderen Sicherheitsaspekten verbunden ist. Außerdem gibt es einen sehr komplizierten Mechanismus für die Offenlegung.

Was also den Sicherheitsaspekt angeht, denke ich, dass wir das alle verstehen. Wenn ein böswilliger Akteur ein Fahrzeug ausnutzen kann, bei dem es um Sicherheit und, nun ja, um Leben geht, dann liegt die Komplexität darin, dass es bei den Lieferketten der Erstausrüster so viele verschiedene Ebenen gibt. Letztendlich trägt der Erstausrüster die Verantwortung, aber es gibt Tier-1-Zulieferer und Tier-2-Zulieferer. Der Lebenszyklus ist lang.

Einige dieser Fahrzeuge sind, wie Sie wissen, schon seit bis zu zwanzig, in manchen Fällen sogar bis zu fünfundzwanzig Jahren im Einsatz. Und: Sind die Entwicklerteams, die diese Hardware- und Softwarekomponenten entwickelt haben, noch aktiv? Arbeiten sie noch mit dem Quellcode? Sind sie in der Lage, einen Patch zu veröffentlichen? Was bedeutet das aus betrieblicher Sicht und in Bezug auf die Kosten?

Wie schnell können sie das umsetzen oder angesichts ihrer bestehenden Verpflichtungen Prioritäten setzen? Was sind die Auswirkungen und die Haftungsfreistellung? Verstehen Sie? Es gibt also all diese operativen Herausforderungen, Risiken, rechtlichen Risiken und Versicherungsrisiken, die sie berücksichtigen müssen.

Es handelt sich also nicht um eine einfach zu lösende Situation; daher müssen wir sehr eng mit den OEMs und den Zulieferern zusammenarbeiten, um tatsächlich einen Mechanismus zu finden, mit dem sie dieses Risiko mindern können, und diesen dann öffentlich bekannt geben.

24:46 Cybersicherheitsbedrohungen in anderen Branchen

Sie haben uns einige Geschichten aus anderen Branchen erzählt, die Sie bei Trend Micro erlebt haben … denn Sie waren lange Zeit bei Trend Micro tätig, bevor Sie kürzlich zu VicOne gewechselt sind. Darunter waren auch einige echte Horrorgeschichten darüber, wie sich Cybersicherheitsbedrohungen auf andere Arten von Unternehmen auswirken können. Möchten Sie uns einige dieser Geschichten erzählen?

Ja. Also, bevor ich zu den Fallbeispielen komme, denke ich, dass man im Automobilbereich insbesondere über die deterministische Offenlegung nachdenken sollte. Wenn wir also über die Herausforderungen im Zusammenhang mit der Koordination oder der Offenlegung sprechen, ist das in gewisser Weise deterministisch, denn wir wissen ja, dass OEMs und Tier-1-Zulieferer Penetrationstests durchführen müssen. Und sie haben ihre eigenen Bug-Bounty-Programme.

Sie haben vielleicht ihre eigenen Methoden und Mittel, um Risiken in der Architektur, der Software und den Komponenten selbst zu identifizieren. Aber wann sie diese offenlegen, richtet sich nach ihrem Zeitplan. Richtig? Ich habe ja bereits über die beiden Wendepunkte gesprochen.

Wann kommen die niedrigeren technischen Eintrittsbarrieren und die hohe Monetarisierung zum Tragen? Sobald das geschieht – und es wird geschehen –, wird es meiner Meinung nach irgendwann nicht mehr deterministisch sein. Dann muss man in einer wirklich komplexen Situation, die schon heute schwer zu bewältigen ist, sehr, sehr schnell reagieren und Entscheidungen treffen. Und das unter Zeitdruck und unter dem Druck der öffentlichen Aufmerksamkeit.

Stimmt’s? Das hat also die Lage grundlegend verändert. Um auf Ihre Frage zurückzukommen: Ich habe aus erster Hand erlebt, dass selbst in Irland – einem kleinen Land – viele Menschen betroffen sind. Ich habe zahlreiche Freunde, die als CISOs tätig sind, und wir wissen aus so vielen verschiedenen Situationen, dass Menschen und Unternehmen ständig Opfer von Hackerangriffen werden. Mhmm.

Das meiste davon wird nicht öffentlich bekannt gegeben. Ich kann mich an drei konkrete Gespräche erinnern, bei denen mich ein Freund von mir, der als CISO tätig ist, anrief und sagte: „Ich stecke in Schwierigkeiten.“ In einem Fall war die betreffende Person buchstäblich erst seit ein paar Wochen im Unternehmen, und schon waren alle Betriebsabläufe weltweit lahmgelegt. In einem anderen Fall waren medizinische Einrichtungen betroffen.

Und wenn das passiert, entscheidet das über Ihren Erfolg oder Misserfolg als CISO. Ganz sicher. Das ist etwas, das Sie nie vergessen werden. Sie müssen unter extremem Druck in sehr kurzer Zeit eine Vielzahl von fundierten Entscheidungen treffen.

Und oft gilt: Egal, wie viel Arbeit man investiert, egal, wie viele Simulationsübungen man durchführt, egal, wie viele Probeläufe man vorbereitet – auf solche Ereignisse kann man sich eigentlich gar nicht richtig vorbereiten. Und dann ist da noch der Stress, der persönliche Stress, unter dem die Betroffenen stehen, wenn sie damit umgehen müssen. Verstehst du? Man hat ja, weißt du, öffentliche Verpflichtungen, wenn es sich um eine öffentliche Einrichtung handelt.

Man hat es mit Dritten zu tun, die hereinkommen und anbieten, – na ja, vielleicht empfiehlt der Vorstand ja jemanden, der sich die Sache ansieht und versucht, herauszufinden, was passiert ist, um Antworten zu bekommen. Alle wollen regelmäßig auf dem Laufenden gehalten werden. Und dann ist da noch das eigene Team, das unter Stress steht und völlig erschöpft ist, weil es versucht, das Ganze aufzuklären. Es ist ein Albtraum.

Und damit habe ich persönliche Erfahrungen gemacht. Das ist also nichts, was man oft machen möchte. Ich bin mir ziemlich sicher, dass jeder CISO das mindestens einmal in seinem Leben durchmacht, aber es ist keine angenehme Situation. Ja.

Das führt dann dazu, dass die Leute zurückhaltend werden und sagen: „Oh je, wir sollten keine Software in Fahrzeuge einbauen, und wir sollten das nicht tun.“ Aber in Wirklichkeit verfügen wir über die entsprechenden Techniken. In der Unternehmens-IT gibt es bewährte Verfahren, um diese Probleme zu lösen.

Die Technologie wird immer besser. Trend Micro ist dabei weiterhin einen Schritt voraus. Wenn wir also an die Automobilbranche denken – was würden Sie der Branche eigentlich empfehlen, wie wir diese Vorgehensweisen in der Automobilbranche umsetzen sollten? Ja.

Die Forderungen gehen also dahin, dass dies auf jeden Fall geschehen wird. Ich meine, die Frage ist doch, wie wir das angehen sollen – sollten wir das aus Sicherheitsgründen tun? Wir sollten es tun, denn die wirtschaftlichen Vorteile, die geschäftlichen Vorteile, die Vorteile hinsichtlich der Markteinführungszeit und die betrieblichen Vorteile überwiegen das Risiko. Die Frage ist nur, wie man das Risiko handhabt.

Und wir haben gesehen, dass dies erfolgreich bewältigt werden kann, seit „Software-Defined Everything“ Einzug in den Unternehmensbereich gehalten hat. Es gibt Möglichkeiten, diese Risiken zu mindern und ihnen einen Schritt voraus zu sein. Je mehr Sie also im Hinblick auf proaktive Sicherheit unternehmen, desto mehr investieren Sie in das Verständnis möglicher Szenarien, in die Integration von „Security by Design“ und in sehr robuste operative Mechanismen, um ein Ereignis bewältigen zu können – aber auch, um über den gesamten Lebenszyklus eines Angriffs hinweg zu wissen: Welche Abhilfemaßnahmen ergreifen Sie während dieses gesamten Lebenszyklus? Und um sicherzustellen, dass Sie in all diesen Bereichen abgesichert sind.

Beim „Software Defined Vehicle“ ist es nicht anders. Es ist lediglich eine weitere Möglichkeit, um sicherzustellen, dass Sie geschützt sind. Mein Rat lautet daher: Ändern Sie Ihre Strategie hinsichtlich der Einführung dieser Technologie nicht. Achten Sie einfach darauf, dass Sie sie ordnungsgemäß schützen.

Richtig.

29:45 Die Rolle von „ AI “ in der Cybersicherheit von Fahrzeugen

Aber wissen Sie, ein Thema, das derzeit sehr im Fokus steht, ist die künstliche Intelligenz. Sie hält natürlich in vielen verschiedenen Bereichen der Welt Einzug, aber auch in Fahrzeugen. Erzählen Sie mir doch bitte etwas über die Vor- und Nachteile von AI in Fahrzeugen im Hinblick auf die Cybersicherheit.

Ich werde das also wieder mit dem Pwn2Own-Event in Verbindung bringen. Richtig? Und vor kurzem hatten wir Sina, der in diesem Jahr der Meister von Pwn2Own ist. Er tritt als Einzelkämpfer gegen Teams wie Synacktiv und viele andere Gruppen an, die aus mehreren Mitgliedern bestehen – wirklich hochqualifizierte, erstklassige Fachleute, die versuchen, Sicherheitslücken aufzudecken.

Und ich stellte ihm die Frage, die, na ja, so in der Art von „ AI “. Und er behauptete zwar, kein Experte für „ AI “ zu sein, aber seine Antwort lautete: „Ich entwickle AI -Modelle, die mir helfen, repetitive Aufgaben oder Arbeiten, für die ich einfach keine Zeit habe, aber die erledigt werden müssen, auszulagern, damit ich all diese Angriffsszenarien tatsächlich durchschauen kann.“ Er sagte also, er sei ein White-Hat-Hacker – White-Hat-Hacker –, der „ AI “ nutze, um seine Produktivität beim White-Hat-Hacking zu steigern. Genau.

Und so kann er sich gegen Gruppen behaupten. Daraus habe ich folgern können: Das ist jemand, der sich mit ethischem Hacking beschäftigt. Was wäre, wenn er ein böswilliger Akteur wäre? Dann könnten sie auch „ AI “ nutzen, um bei ihren eigenen Versuchen noch erfolgreicher zu sein.

Das wäre also die eine Seite. Richtig? Aber dann sehen wir auch die Möglichkeit, „ AI “ zum Schutz einzusetzen, nämlich indem verschiedene Modelle verwendet werden, um Verhaltensmuster zu erkennen, insbesondere im Hinblick auf Anomaliemodelle. Das zeigt sich beispielsweise bei der Filterung verschiedener Ereignisse, die von Fahrzeugen gemeldet werden.

Das lässt sich an der Korrelation erkennen, also an den unterschiedlichen Verhaltensmustern, die wir beobachten. Wir haben ja bereits über Onboard- und Offboard-Prozesse gesprochen, aber auch über verschiedene Systeme. Vielleicht möchten Sie die unterschiedlichen Aktivitäten über all diese Bereiche hinweg betrachten und sie nicht nur als isolierte Einheiten betrachten, sondern tatsächlich das Gesamtbild im Blick behalten. All diese verschiedenen Aufgaben können Sie mit „ AI “ beschleunigen, da ein Mensch dies einfach nicht leisten kann.

Weißt du? Das Auslesen von Fahrtenbüchern direkt aus dem Fahrzeug heraus. Verstehst du? Man wird andere Wege finden müssen, um sich von den herkömmlichen Regelwerken zu lösen.

Weißt du? Und deshalb musst du AI nutzen – wir sehen ja, dass die Leute AI für Angriffe nutzen werden, aber du kannst auch AI zur Verteidigung einsetzen. Die Frage ist: Wer wird das Rennen gewinnen und wer kann sich am schnellsten anpassen?

32:13 Fazit und Ausblick

Das ist eine wirklich interessante Sichtweise auf das zweischneidige Schwert von „ AI “ für die Cybersicherheit.

Willy, das war ein unglaubliches Gespräch. Wir haben so viele Themen angesprochen. Ich habe unglaublich viel gelernt. Vielen Dank, dass du bei uns zu Gast warst.

Und wir freuen uns sehr auf die Zusammenarbeit mit Ihnen. Wir freuen uns darauf, in Zukunft über Sonatus noch enger mit Ihnen zusammenzuarbeiten, und danken Ihnen, dass Sie bei uns zu Gast waren. Vielen Dank. Wenn Ihnen die heutige Folge gefällt, liken Sie sie bitte und abonnieren Sie unseren Kanal, um weitere Folgen wie diese zu sehen.

Und ihr findet uns auf YouTube, auf der Website „ Sonatus “, bei Apple Podcasts und auf Spotify. Wir freuen uns darauf, euch schon bald in einer weiteren Folge von „ The Garage “ wiederzusehen.