針對車輛的網路攻擊是否已經來臨？

概覽

約翰：今天在《The Garage 》節目中，我們正在 2024 年底特律汽車科技展（Auto Tech Detroit 2024）現場進行直播，並與 Upstream 探討網路安全議題。開始吧。

約翰：歡迎收聽《The Garage 》。我是約翰·海因萊因（John Heinlein），Sonatus 的首席行銷長。我們正在 2024 年底特律汽車科技展（Auto Tech Detroit 2024）現場進行直播。而今天的嘉賓是傑森·馬斯克（Jason Masker）。

認識傑森·馬斯克

約翰：傑森是 Upstream 北美地區的解決方案架構總監。傑森，歡迎來到The Garage 。

傑森：很高興能來到這裡。

約翰：我們總是喜歡在節目一開始先認識一下來賓。請跟我們聊聊你自己以及你的背景吧。

JASON：我的專業背景在於解決方案架構與技術。因此，我在技術解決方案、數據以及網路安全諮詢方面擁有非常深厚的經驗。

約翰：在加入《Upstream》之前，你還曾在哪裡工作過呢？你的資歷非常豐富。

傑森：是的，我在加入 Upstream 之前，花費了大約兩年的時間，幾乎完全專注於《財星》1000 大企業，總計約 850 個客戶。當時我們已經非常接近開發出解決方案。在那段期間，我擔任高階管理職務，同時也兼任現場首席技術長（CTO），並培育了一支數據智能團隊，負責推動這些數據專案。

約翰：太棒了。那你們的據點在哪裡？

傑森：我住在底特律都會區的羅徹斯特希爾斯。所以，能來到「Auto Tech」，我感到非常高興。

約翰：我們希望在我們待在這座城市期間能見到你。

傑森：對。對。

約翰：所以我們總是喜歡認識我們的來賓。我們也總是請他們分享一個有趣的小故事，關於他們自己的一些有趣之處。請告訴我們關於你的一些有趣之處吧。

傑森：來個冷知識。我的招牌故事其實是——因為這在科技業界可能有點獨特——我以前養過 16 隻山羊。

約翰：16 隻山羊？！

傑森：在一家小型露營車農場外，主要飼養乳山羊。我女兒因健康問題需要喝新鮮的山羊奶，於是我們便將此轉化為一項家庭計畫。

約翰：太棒了。我們有這麼多鄰居，比如說，你可以養雞。在聖荷西，你可以養兩隻雞之類的。我沒有養雞。我無法比擬你那隻山羊的故事，那真是個不可思議的故事。我真的很喜歡種新鮮番茄。所以我每年都會種一些，今年這些番茄植株長得特別好。 雖然還不確定後續會如何，但……這樣一來，夏天我們就能吃到超棒的番茄了，而且沒有什麼能比得上剛採摘五分鐘的新鮮番茄。

傑森：不錯。是啊。太棒了。我超愛卡普雷塞沙拉，所以……

約翰：對。就是這樣。

Upstream 的網路安全報告

約翰：所以你們剛發布——Upstream 剛發布——一份關於網路安全的報告，我想請問您能否與我們分享一些在分析中發現的、令人感到擔憂的結論。

傑森：沒錯。關於這份網路安全報告，你知道的，我們從 2019 年開始發布。這份報告在業界引發了許多討論。我們經常被邀請就此進行高階主管簡報等活動。而今年非常有趣的是，我們正在向各界闡述我們所觀察到的這個轉捩點。

因此，在這個早期階段，我們已觀察到大量的研究活動，畢竟隨著智慧移動技術的逐步發展，車輛正變得越來越智慧化。許多人對此表現出濃厚興趣，紛紛前來探詢。今年我們發現，公開通報的事件中有 50% 可能影響多輛車輛，而非僅影響單一車輛。

因此，我們談論的是數千輛，甚至在某些情況下多達數百萬輛的車輛，這是一個巨大的變化。所以，在之前的幾年，也就是 2021 年、2022 年，這個比例僅有 20%。我們正在深入調查這一點：其中 95% 的事件是透過遠端方式實施的，而 85% 屬於極遠端攻擊，也就是跨洲級別的攻擊。 我們發現，目前有 64% 的事件是由黑帽駭客所為。 此外，我們也面臨網路威脅。因此，我們正密切監控深網與暗網的活動，相關活動量已飆升 150%。光是圍繞行動裝置領域的駭客攻擊與模糊測試等相關討論與活動就大幅增加。我想傳達的核心訊息是：這股趨勢正在加速，而相關挑戰所帶來的衝擊也正急劇擴大。因此，我們必須透過相應的行動來因應這一切，對吧？

約翰：噢，這太不可思議了。所以，如果這都沒把你嚇得魂飛魄散，那我真不知道還有什麼能嚇到你了。我認為這些網路威脅只會越來越嚴重。

關於 Upstream

約翰：我認為這對他們來說是個絕佳的機會，既能介紹「Upstream」，也能說明貴公司採取了哪些措施來協助減輕這些威脅。

傑森：是的。Upstream 自 2019 年以來便已成立。我們有三大主要產品線，也就是我們推向市場的核心產品組合。其中旗艦產品是專為移動領域設計的網路安全平台，目前我們正為客戶監控超過 2,500 萬輛聯網車輛。這套系統旨在進行即時監控，分析後端 API 調用所產生的遙測數據，以及該生態系統中的各項要素，並進行關聯分析。

因此，我們理解這一切的唯一方式，就是將這些事件與事物視為相互關聯的。這正是當今局勢的現況。如果我今天遭到攻擊，我希望、也需要收到警示，並採取行動。此外，為了未雨綢繆，我們還提供了一款網路威脅情報產品。 這項產品針對性極強，特別是針對行動裝置領域——該領域有眾多供應商與技術，我們將其整合為單一產品。這涉及 S-BOM（軟體物料清單）與 H-BOM（硬體物料清單），旨在從元件層級深入理解其中涉及的內容，讓您能更有效地監控 CVE 資訊流與漏洞資訊流，並掌握這些漏洞對您產品的實際影響。那麼，我們該如何搶先一步應對呢？

此外，我們也在監控威脅行為者。 我們正在監控深網和暗網，同時也關注輿情、詐騙、盜竊這類情況。這樣一來，我們就能觀察事態的發展：好，現在我知道這個漏洞正在影響我，而當我不僅知道這個漏洞存在且已造成影響，更發現其他人也意識到它會影響我的產品，並開始針對我的產品發動攻擊時，我就必須採取更緊急的行動。

因此，這更增添了緊迫性。但沒錯，這讓我們能搶先一步，或許在我們的資安產品偵測到全面攻擊之前，就先防範於未然。

約翰：那、那太棒了。

JASON：另一項服務其實是，我們運用在行動領域的專業知識，提供所謂的 VSOC（車輛安全營運中心）服務。我們通常以「建置、營運、移交」的方式進行，主要服務對象是擁有自身 SoC 的大型客戶。 對於擁有自身網路安全平台的客戶，我們會將此服務作為升級方案，即第二或第三級支援；或者，我們也可以完全以託管服務的形式提供，這在需要真正運用移動領域專業知識的情況下尤為重要——這與典型的 IT 安全營運中心技能組合有所不同。這確實有些不同，對吧？因此，為了總結上述內容並協助制定應對手冊，以提升組織的運作效能。

約翰：這太棒了，因為我認為在我們討論的許多領域中，汽車製造商需要引進像這次案例中的網路安全這類專業領域——這或許並非他們原本的專長，但他們可能擁有某些與車隊運作相關的營運專業知識。然而，面對這類威脅時，這可能超出了他們的專業範疇。因此，引入像你們這樣的合作夥伴將會很有幫助。

傑森：沒錯，很多時候我們都在協助推動這些變革。你知道的，該如何讓產品部門與資安部門更緊密地合作，並建立更實質的工作夥伴關係。 沒錯。因為歸根結底，我們是在建立一種能力——一種組織能力，這與組織能力的變革非常相似，對汽車產業而言更是至關重要，對吧？當我們開始打造智慧汽車時，我們需要這項新能力，也就是將更高科技的元素整合到車輛中。同時，我們也需要具備以安全方式實現這一切的能力與專業素養，對吧？

OEM 面對網路威脅的優勢

約翰：你對原廠設備製造商（OEM）的現況有何看法？我不想在此點名，但總體而言，你覺得這些原廠設備製造商是否已經理解了？他們是否意識到這些威脅？你認為他們在推動必要的改進（例如採用你們的產品）方面，凝聚力的程度如何？

傑森：這很有意思。我們其實，我們其實試著將這一點拆解分析過。我們與許多企業進行了交流，顯然我們與所有大型汽車製造商都談過。我們也接觸過規模非常小的，或是新創的汽車製造商，對吧？我們從多個角度來檢視這件事，你可以從組織規模、員工人數，以及資金規模這幾個面向來考量。

您可以將其視為車隊規模，也就是說，他們實際上有多少輛車在路上行駛。有趣的是，這些數據其實並不能預測其安全性或操作熟練度，因為我們發現這些車隊的規模各不相同，運作狀態也各異。若從這個角度思考，您會發現，我們最終正在開發一項能力，而我們當然樂意提供相關工具來協助實現這一點。

但我們也在培養——你知道的——在這方面的組織效率，對吧？我們該如何在這些 API 以及我們正在開發的項目中進行「左移」？而且我們希望以安全的方式來做到這一點。要做到這點，網路安全團隊與相關部門之間需要建立良好的合作關係，能夠坦率地說：「嘿，我們漏掉了一些問題，需要將這些納入開發週期中」，對吧？

而為了達成這個目標，這確實需要時間。我不會因此氣餒。你只要開始做就好。而且這是一項會隨著時間而進步的事情，就像我們在智慧汽車這項技術本身所做的那樣。

約翰：聽起來你似乎是說，這方面存在一個光譜——有些人已經全力投入，而另一些人則還在逐步推進，我想是這樣吧。

傑森：是的，這主要受不同因素驅動……舉例來說，在海外，我們過去幾年看到這股趨勢很大程度上是由合規要求推動的，你知道的，像是聯合國、ISO 以及歐盟等機構，你必須符合這些安全要求。 在美國國內，我們雖然沒有那麼多受合規要求的驅動，但人們對此已有認知，也意識到這類要求可能會到來。不過，其中一些驅動力更多來自事件本身——你知道的，我們推出了一個很棒的 API，或是在應用程式中加入了一項很棒的功能，但現在卻因此遇到一些麻煩，因為有人濫用它。 因此，推動力來自不同層面。引發這份意識的因素各不相同。不過我認為，最終我們會看到，一旦意識形成，它就會開始萌芽、逐漸壯大，並隨著時間推移而日益完善。

車載軟體與 SDV

約翰：也許這正是談論軟體的好機會。你知道的，在底特律汽車科技展（Auto Tech Detroit）上，軟體佔了相當大的比重。當然，無論是這檔播客，還是《Sonatus 》這個平台，其核心焦點都在於車輛軟體，以及加速推動向「軟體定義車輛」的轉型。 我認為——也很想聽聽您的看法——透過部署軟體來改造車輛，確實是落實某些重要軟體的絕佳機會，這些軟體有助於解決上述部分問題。您對軟體定義車輛（SDV）以及這個議題有何見解？

傑森：因此，SDV 的影響如此巨大，不僅僅是財務層面——試想，當你比較 OTA 更新與全面召回（即召回車輛並進行改裝）這兩種情況時，對吧？它同時也對資安態勢產生重大影響。如果能夠實現這些……我們所依賴的……我們的防護能力，終究取決於我們所能觀察到的數據。

我們不產生數據，而是分析數據與事件。 對吧？因此我們看到，隨著特定遙測數據的採用，系統的精密程度正不斷提升。而這就涉及與遙測成本之間的權衡，對吧？至於軟體定義車輛（SDV），顯然若能即時進行這些微調與調整，效果會更佳。正如我們先前討論的，當車輛具備「Sonatus 」功能，而雲端分析系統則具備「Upstream」功能時， 如果我們能讓這兩者產生協同效應，並真正讓它們在這個層面上協同運作。因為歸根結底，有些事情最適合在車上執行和觀察；有些則最適合在雲端執行和觀察，而最終你將能同時將這兩者達到平衡。

關於威脅的更完善資料

約翰：聽起來似乎……我想從中提出兩點。第一點是，SDV 確實存在真正的發展機會，但這涉及多個層面。其中之一是，如果我們能從一開始就產出更優質的數據，那麼透過更完善的數據以及對整輛車的更全面掌握，就能在「草堆裡找出針」，或者更快速地發現潛在威脅。

傑森：沒錯，絕對是這樣。這是一個持續的過程，因為說到底，你知道，我們當然是在將那些我們時常接觸的事物自動化。所以對這些我們倒不太擔心。但當你看到一些新事物時，就會不禁感嘆：「哇，如果當時有這個指標，就能更早地預測到這個情況。」而現在，你可以即時做出調整，這樣能產生更好的協同效應。

為因應威脅而進行的升級

約翰：沒錯，所以這枚硬幣的另一面也體現在 SDV 上，這同樣源於可升級性的優勢。人們通常會將此理解為能提供更優異的駕駛輔助功能等，但這項優勢同樣延伸至網路安全領域——假設面臨威脅，像是零日漏洞之類的突發狀況，以往你可能得等待很長時間，或是將車輛開到服務中心進行韌體重新燒錄。 現在，我們有機會以更快的速度做出反應，甚至可能採取預防性措施，來減輕這些威脅的影響。

傑森：絕對沒錯。而且我認為這方面的發展趨勢是，在自動化方面，我們已經做得相當不錯了。你知道，當有使用者濫用 API 時，我們可以在汽車雲端直接建立自動化機制，進而封鎖那些憑證，並將其拒之門外。

就車輛本身而言，針對實體攻擊，或是可能發生的藍牙或 Wi-Fi 攻擊，我們在雲端能直接處理的範圍較有限。沒錯。 因此，在這些情況下，我認為 SDV 正在開發的功能非常靈活，且有望將我們目前在雲端所能做到的類似操作延伸至車載端——例如，當有人連上 Wi-Fi 時，我們可以暫時停止掃描 SSID，對吧？因此，這項能力能在兩端同時提升，實在是太棒了。我認為這確實能建構出一個穩健的解決方案。

不採取行動的風險

約翰：這太棒了。我，你知道的，我在想這裡有什麼風險呢？如果……如果……如果沒有正確執行，不遵守規定會有什麼風險？會有哪些負面後果？

傑森：對啊。我的意思是，這正是海外市場的情況，對吧？合規性直接關乎財務，而且非常容易量化。至於資安，我們總是面臨這種模糊性，對吧？這有點像保險：你知道的，也許你出門時買了最便宜的保險，結果發生了事故，這時你才驚覺：「哎呀，這下得加倍付錢了。」 你會發現，自己其實付出了最高昂的代價。然後，如果你真的很倒楣，可能就再也不會發生那種事故，那筆錢就白白浪費了。所以我們提供類似的解決方案來協助處理這類問題。分析的本質終究在於關聯性。因此，我們與各組織合作，協助他們減輕部分工作負擔，同時從中獲得更可量化的效益。 以車輛品質預測為例，我們的多數原廠客戶（OEM）都告訴我們，若能及早預知即將發生召回，將能大幅減輕重大的財務衝擊。因此，透過協助處理這類問題，您也能憑藉這些真實、具體的成果，為更多投資提供合理依據。

對吧？所以我們會尋找其他方法，來協助解決這個問題。但顯然，你知道，像轉捩點這種情況——當你發現這件事……你知道，你必須自問：這對未來的聲譽會造成什麼影響呢？你絕對得考慮到你的客戶……

駭客攻擊打擊了消費者信心

約翰：說到底還是消費者的信心問題。畢竟，過去幾年確實發生過幾起轟動的資安事件——雖然我不便點名——但確實有各種不同的車款遭到駭客入侵。我認為這會讓消費者稍作停頓，思考：「這輛車對我來說真的安全嗎？」而且我認為，到了某個程度，這確實可能會影響消費者的購買行為。

傑森：是啊。其實，在私下裡，你知道的，每個人在意識到這些事情時會有不同的反應，而且確實有人說過：「能不能給我一輛只裝有晶體收音機的車？你知道的，我不需要它有多聰明。 「我正被追蹤，而且，你知道的，說不定會有人把我逼下路？」你知道的，這種恐懼往往會自然浮現。此外，媒體和娛樂產業也——你知道的——在某些創意情境中，像 Netflix 這樣，會進一步放大我們所見到的現象。

SDV 可能更安全

約翰：而且他們把負面影響誇大其詞了。實際上並非如此。 這跟電影裡演的那樣完全不同，但我覺得這很有趣，因為我不認為——你知道的——一般人會回到那種老舊的收音機時代。而是如果我們……你知道，本週稍早我在播客節目中請了一位嘉賓，他諷刺地提到「軟體定義車輛」……你會說：「天啊，這太可怕了。 軟體這麼多，簡直是種威脅！」。但其實不然，車輛裡本來就有軟體，而且這些軟體並沒有受到保護。所以說，所謂的「軟體定義車輛」反而可能更安全，因為我們能更快地發現威脅，進而有機會減輕這些威脅的影響。因此，我希望我們能改變人們對此的看法，讓大家明白這其實是正確的方向，而不是錯誤的方向。

傑森：絕對是。這是一個過程，也是一種成熟度的展現。而且這在其他科技領域或方面，我們都曾見過。 沒錯。以前在網路上訂購東西曾讓人感到非常害怕，對吧？而且，我認為，現在我們都已經對此相當習慣了。所以這需要時間，也需要一些自律和關注。但你知道的，我們都在這裡提供協助，而且我認為，這項能力會隨著時間而不斷提升。

近期威脅的例子

約翰：既然您確實身處幕後，親眼見證這些威脅如何演變，我想請您能否與我們分享一些您所見過的、貴團隊發現的威脅案例。

傑森：是啊。這類情況總是很有趣，對吧？所以，當某些情況浮現時——尤其是當先前從未有人從這種角度或見解來探討這些關聯性時——顯然非常引人入勝。但我們確實曾目睹並成功阻止過……顯然，那些研究人員，你知道的，我們能看出來。那感覺就像是：「嗨，山姆·柯里。」 你知道，他又出現了。我們能偵測到這點。但我們曾在某處提過，我們正在阻止這類企圖控制多輛車輛的攻擊。 而且最近，透過我們的威脅情報，有家原廠製造商（OEM）詢問我們：你們能查出他們是怎麼……我們真的完全不知道他們在暗網是怎麼提供這些服務的。比如說，他們怎麼能宣稱「我可以賣給你資訊娛樂系統的完整存取權限」之類的，這些東西，他們到底是怎麼做到的？ 當我們介入並進行觀察時——是在應他們要求對一輛車進行測試，再次強調，我們並非為了好玩而駭入——我們發現，這其實是來自內部，是某位內部人員在暗中牟利。 他們能透過系統生成一種診斷代幣，你會親眼目睹這個過程，接著看到那個確切的代幣被分享出去，這實在太不可思議了。

約翰：所以你算是……正面對抗這項威脅，幾乎就像是，你知道的，直接問：「嘿，這到底是怎麼發生的？」然後觀察、觀察整個過程如何展開。

傑森：沒錯。即時監控。所以有時候你必須進行調查。這就是你必須採取的做法。 所以，還有其他攻擊案例，我們實際上能夠辨識出，有人成功執行了注入攻擊，因為他們發現該車輛一直在掃描 SSID，因此他們能透過一個構想來完成注入攻擊——只要將 SSID 設定為某種注入形式即可。 沒錯。但我們是根據車輛傳送上來的遙測數據才察覺到這一點的。

無線網路作為攻擊面

約翰：很有意思。所以，這些無線連線雖然帶來了巨大的好處，但也可能成為風險的來源。

傑森：沒錯，絕對是這樣。而且我認為更令人害怕的是，從事件發生到我們察覺之間，可能會存在一段很長的時間差。因為我們一直在監控這些遙測數據，並對可疑跡象進行關聯分析，所以通常能立刻發現問題；但誰知道在我們察覺之前，這類問題究竟會擴散到什麼程度，又會因為什麼原因而擴散呢？

約翰：這正是我們如此重視的原因之一。而我們的一大特色，就是能對車輛提供極為細緻的數據可視化。我們能夠探查到比以往更深層的細節，而且還能非常迅速地調整數據分析——因為當你針對某輛車提出一個典型的數據問題時，可能會發現：「其實我還需要問另一個問題。」 倘若調整問題所需的時間非常長，那就會造成問題。但我們能在幾分鐘或幾小時內調整問題，這能在威脅迅速演變時，提供極快的學習循環。

傑森：這絕對是。雖然不想一再強調這個轉捩點，但這正是……現在的時間點更加關鍵。沒錯。所以我認為，能夠將這方面提升到更高層次，對於在整體局勢中保持良好態勢來說，實在是至關重要。

結論

約翰：嗯，傑森，撇開你把我們嚇得半死這件事不談，我其實真的很享受這次的對話。而且非常感謝你特地來節目現場與我們交流。真的非常感謝。

傑森：沒錯，絕對是。很高興我們能聯繫上。而且，能這樣做。這真是一次很棒的對話。

約翰：如果您喜歡在The Garage 上看到的內容，請為本集按讚並訂閱，以便收聽更多來自「底特律汽車科技」（Auto Tech Detroit）的節目，以及我們回到自家車庫拍攝的本季內容。我們期待很快能在《The Garage 》的下一集節目中再次與您見面。