Fortinet Security solutions for Automotive on AWS

2. 构建所需所得的汽车安全基础设施
岑义涛
Fortinet亚太区产品市场总监
亚马逊云科技大使

3. 针对车联网的网络安全攻击事件快速增长
2020.1
• 黑客使用廉
价电子设备
盗走印度
4118辆汽车
• Tesla Model X
的ADAS和自动
驾驶系统被黑
客欺骗，导致
触发了刹车冲
向迎面而来的
交通中
• 梅赛德斯奔驰
E级轿车发现
19个漏洞，黑
客利用漏洞可
直接远程控制
车辆，包括打
开车门及发动
机
2020.2
2020.4
• 黑客通过对车
辆TCU进行反向
工程，通过
Telematics连接
渗透了车企数
据中心网络，
从而完全控制
了OEM公司的
网络
• 通过公开提供
的网联汽车部
件的源代码，
黑客发现了戴
姆勒内部系统
的密码和API
Token令牌
2020.5
2020.7
• 本田在欧洲和
日本的网络受
到Snake勒索软
件的攻击后停
止了其许多工
厂的生产，造
成巨额损失
• 信通院在10个
Tier 1和OEM开
发的40多款
ECU中发现了
300多项漏洞
2020.8
2022.9
• 黑客操纵了
YandexTaxi 网
约车服务，莫
斯科上演交通
大堵塞
• 黑客发现了
Hyundai网络
VPN漏洞，并
在暗网中出售
OEMVPN访问
权限
.....
• 意大利超跑制
造商法拉利
6.99GB 内部文
件泄露
2022.10
2022.11
• 车联网服务商
SIRIUSXMAPI
漏洞，未授权
远程控制 本
田、日产、英
菲尼迪、讴歌
汽车
• 重放攻击: 德国
大量交通信号
灯容易受到操
纵
2022.12
• 蔚来汽车数据
泄露被勒索

4. 《2023年全球汽车行业网络安全报告》
• 报告显示，在过去5年中，全球汽车行业因为网络化攻击
造成的损失超过5000亿美元
Heading
• 新的攻击面大量出现，随着汽车行业变得更加智能化和数
字化，汽车企业因此拓展出更多的商业服务模式，这给了
网络攻击者更多的攻击面和攻击载体。
Heading
0%
5%
10%
15%
20%
25%
30%
35%
40%
针对汽车行业网络攻击的主要载体

5. 国际社会对车联网网络安全战略布局
 联合国于2020年6月，在《1958
协定书》框架下，表决通过了两
项法规（汽车信息安全领域首个
具有约束力的国际统一技术规
范），正式将网络安全纳入汽车
技术法规范畴：
 《网络安全与网络安全管理系统》
 《软件升级与软件升级管理系统》
 该法规已于2021年1月正式实施，
将对1958协定书框架下的48个缔
约国起到约束作用。

6.  2021年8月31日，汽车信息安全领域首个国
际标准ISO/SAE 21434（道路车辆信息安全
工程）标准正式发布。
 国际标准化组织（ISO）是标准化领域中的
一个国际性非政府组织，成立于1947年，
是全球最大最权威的国际标准化组织。中国
是ISO常任理事国，代表中国参加ISO的国
家机构是中国国家标准化管理委员会（由国
家市场监督管理总局管理）。
 美国汽车工程师学会（Society of
Automotive Engineers，SAE）是美国及世
界汽车工业有重要影响的学术团体，每年都
推出大量的标准资料、技术报告。该学会每
月要向大约14000多个技术人员、商界人
士、政府官员传递世界上最新的科技动态。
 ISO/SAE 21434是唯一一个由两家重量级组
织联合发布的国际性标准。
国际社会对车联网网络安全战略布局

7. • 车联网是一个复杂的网络生态系统，其合规问题不仅涵盖了传
统汽车行业的合规点，更是涵盖了互联网行业及大数据行业的合规
点。所以，参考的标准应更广泛且多样。加强车联网的整体合规，对
于车联网企业而言，具有重要的意义和价值。
• 智能汽车安全
• 网络安全与功能安全视同，纳入汽车制造监管范畴；
• 通信安全
• 车联网通信需要更可信任的网络通信环境；
• 平台安全
• 鉴于其关键基础设施属性，车联网平台应具备更高级别的网络
安全技术要求和管理要求；
• 应用服务安全
• 汽车资产属性下降，作为服务时安全责任界定需要重新梳理；
• 数据安全
• 数据防泄漏、数据跨境管理、数据信息共享风险、用户个人信
息保护
安全合规标准
是助推车联网
安全的必要手段

8. 互联网车辆全生命周期的信息安全管理
车外
车内 车机信息安全
网络连接安全
数据中心 / 云安全
OTA
高精度地图
安全日志
驾驶日志
整车厂,
Tier 1供应商
驾驶记录
驾驶辅助
车内娱乐
WiFi
第三方服务商
V2x 通讯
工厂 制造信息安全

9. 经销商维修车间车联网零信任安全架构
车企云
HA Mode
堡垒机
Microsoft
AD、DNS等
SD-Branch
FortiManager
统一管理平台
FortiAnalyzer
日志分析平台
FortiClientEMS
策略管控平台
运维人员
Internet
CDN
海外
零信任+SD-WAN
安全网关
SD-Branch
安全交换机
Wireless AP
安全无线
汽车诊断 A类机 汽车诊断 C类机
Internet线路
车企经销商4S店
汽车诊断 A类机
汽车诊断 C类机
外部救援场景
Off-Line状态
On-Line状态
On-Line状态
三网通4G
WIFI 有线网络
FortiGate HUB
FortiGate HUB

10. 车辆生产制造 销售与服务网络 车辆信息安全 车联网安全
互联网车辆全生命周期的信息安全管理
• 用零信任和Purdue模型构
建分层的工业制造安全
• 工业互联网和物联网网络
与安全的可视化
• 零信任体系保障灵活的工
业互联网管理
• 采用安全的SD-WAN高效
和低成本的互联各4S店
• 4S店服务终端零信任安全
和数据防泄漏
• 符合国际和国内信息安全
强制性标准
• 对车内各个域进行加固和
防御
• 对现代应用系统进行高阶
威胁防护
• 符合云数据中心的等保要
求
• 防御攻击，避免用户数据
泄露
贯穿始终的信息安全保障

11. 为车企出海提供全面安全保护
混合环
境网络
安全
SAP/
应用访
问安全
应用开
发安全
应用运
行时安
全
安全运
营与托
管服务
FortiGate
• 亚马逊云科技南北与东西向流
量检测
• 全球SD-WAN组网
• 工厂网络与产线安全
• 分支网络安全
FortiGate + FortiClient
• ZTNA零信任访问
• SSL VPN
• 应用入侵防御
SOC平台与托管运营服务
• 自动化安全运营与响应
• 攻击面管理与品牌保护
• 24x7安全托管运维服务
FortiWeb
• Web威胁检测与防御
• API威胁检测与防御
• 僵尸/机器人攻击防御
云安全
与架构
咨询
云架构设计咨询服务
• 亚马逊云科技与Fortinet架构设计
• 安全评估与改进建议
• 培训
FortiDevSec +
FortiDAST
• CI/CD安全
• 静、动态代码检测
• Web/API安全测试

12. 与亚马逊云科技原生集成的安全架构
Fortinet Security Fabric 完整交付在亚马逊云科技平台上
Amazon GuardDuty
Amazon Outposts
Amazon Transit Gateway
Amazon Gateway Load Balancer
Amazon EC2
Amazon CloudFront
集成服务：
FortiCNP
Amazon Outpost
On-premises

13. 某知名车企出海案例-南北向隔离
1. 从APP子网去往互联网的流量被路由至同一VPC
的GWLB endpoint；
2. 该endpoint关联了安全VPC内GWLB的endpoint
服务，一旦GWLB收到流量，便将之加密转发至
后端安全实例，即FortiGateVM04V（FGT）；
3. 当FGT完成流量的检测后，流量回到GWLB及
GWLB endpoint；
4. 当流量回到最初的VPC后，跟随出向
（Egress）子网路由表，被送往互联网网关
（IGW）；
5. IGW将流量送往互联网；
1. 从互联网来的入向流量到达IGW；
2. 跟随入向（Ingress）路由表，流量被路由至
GWLB endpoint；
3. 该endpoint关联了安全VPC内GWLB的endpoint
服务，一旦GWLB收到流量，便将之加密转发至
后端安全实例，即FortiGateVM04V（FGT）；
4. 当FGT完成流量的检测后，流量回到GWLB及
GWLB endpoint；
5. 从GWLB endpoint到达APP VPC的流量被本地
路由至APP子网的资源

14. 某知名车企出海案例-东西向隔离
1. IP为10.0.1.10的流量想要访问到达APP2 VPC内
的10.1.2.20，其子网路由表通过默认路由
（0.0.0.0/0）将之路由到TGW；
2. APP1 VPC关联了Amazon TGW中的“TGW RT
APP”路由表，其设置通过安全VPC的关联组件
（attachment）来转发所有流量（0.0.0.0/0）；
3. 安全VPC内的TGW网卡（ENI）使用其子网路由
表转发所有流量至GWLB endpoint1；
4. GWLB endpoint转发流量至GWLB；
5. 流量被送往GWLB后的安全实例即
FortiGateVM08V（FGT）做响应安全检测；
6. 一旦流量完成检测，其被送回至GWLB；
7. GWLB转发流量至GWLB endpoint；
8. GWLB endpoint使用其子网路由表，通过正关联
着TGW组件（attachment）的TGW网卡
（ENI），转发所有非本地流量至TGW；
9. 当流量到达TGW，其使用关联在安全VPC的
“TGW RT Sec”路由表，通过APP2 VPC的关联组
件关系，找到目标地址；
10. 一旦其到达APP2路由表，会发现数据包目标地址
（10.1.2.20）为本地地址，于是转发其至目标实
例。

15. 灵活的订阅与使用模式
Marketplace-
Private Offers
BYOL-
FortiFlex
Marketplace-
On Demand (PAYG)
BYOL

16. Fortinet 始终与亚马逊云科技紧密合作
1
2
3
按需付费 按年付费 永久许可
网络与访问安全 应用及API安全
SD-WAN组网
与全球加速
连续三年
“年度合作伙伴”
Fortinet为用户提供全面、妥善的
网络及安全解决方案

17. THANKS!