TARA in der Praxis mit dem Nine2Five TARA-Navigator

Eine Risikoanalyse ist ein Verfahren, bei dem Erkenntnisse strukturiert und Schritt für Schritt überprüft und in Beziehung zueinander gesetzt werden. Der Nine2Five TARA-Navigator umfasst neun Schritte und fünf Ziele. 

In diesem Video erklären wir Ihnen dieses Verfahren. Stellen Sie sich das TARA-Verfahren wie eine Perlenkette vor: Wie eine weitere Perle fügen wir der vorhergehenden immer einen weiteren Analyse- oder Identifizierungsschritt hinzu, und zwar von ganz links nach rechts auf der Schnur. Bei jedem Schritt dürfen Sie nur über ein Thema nachdenken.

Bevor Sie mit Ihrer TARA beginnen können, müssen Sie zunächst Ihren Untersuchungsgegenstand definieren. Dabei handelt es sich um ein Subsystem oder eine Reihe von Subsystemen, z. B. eine Funktion auf Fahrzeugebene oder ein Steuergerät. Beschreiben Sie die Umgebung dieses Systems, seine Funktionen, Interaktionen und welche Schnittstellen es gibt.

Ein Asset gehört zu Ihrem Untersuchungsgegenstand – und es ist schützenswert! Es definiert ein für einen Stakeholder entscheidende Eigenschaft. Nehmen Sie zum Beispiel den Internet-Kommunikationskanal – kaum ein elektronisches System ist ohne dieses Asset denkbar. Verschlüsselung oder Ziele der Funktionssicherheit sind weitere Beispiele.

Das Asset ist jedoch für zwei Seiten äußerst interessant: für Ihren Stakeholder, der dadurch die erforderliche Funktionalität erhält, sowie für einen Angreifer, der so gegebenenfalls Ihr System kompromittieren kann.

Daher besteht die erste Aufgabe darin, alle Ihre Assets aufzuzählen.  

Was kann schief gehen? Hinterfragen Sie systematisch jedes der Assets im Hinblick auf Vertraulichkeit, Integrität und Verfügbarkeit sowie auf Nichtabstreitbarkeit, Authentizität und Autorisierung. Die Norm ISO/SAE 21434 beschreibt diese Eigenschaften als Cybersecurity Properties.

Cybersecurity Properties

• Vertraulichkeit
• Integrität
• Verfügbarkeit

Wir empfehlen, drei zusätzliche Cybersecurity Properties in Ihre Untersuchung einzubeziehen. 

• Nichtabstreitbarkeit
• Authentizität
• Autorisierung

Sie identifizieren jetzt die Schadensszenarien, indem Sie abschätzen, was passieren kann, wenn Cybersecurity Properties oder Assets in Bezug auf die Cybersecurity Properties kompromittiert werden.

Dies war, kurz gesagt, die Identifizierung der Assets.

Hier evaluieren wir die Schadensszenarien danach, welche Folgen sie für Ihre Stakeholder haben können. Dazu gehören funktionale Sicherheit, Finanzen, Betriebssicherheit und Datenschutz. Tabellen helfen, die Schwere des Schadens zu bestimmen. Der Haken dabei ist, dass nicht jeder Stakeholder von jedem Schadensszenario gleich stark betroffen ist.

Übrigens haben wir auch unser erstes Ziel erreicht: Wir haben die Auswirkungen des Schadens bewertet.

Im ersten Schritt haben wir über den potenziellen Schaden gesprochen, der zum Beispiel durch ein kompromittiertes Cybersecurity Property entstehen kann. Nun schauen wir uns die ausgewählten Assets noch einmal an und fragen, welches Bedrohungsszenario sich ergeben könnte. Um dies zu verdeutlichen, wählen wir einen kompromittierten Schalter. Aus diesem Schadensszenario ergibt sich ein mögliches Bedrohungsszenario, nämlich verursacht durch Spoofing oder Überflutung des CAN-Busses.

Sie finden eine Liste von Beispielen für Schwachstellen in den UNECE-Regulierungen. Überprüfen Sie entsprechend, ob diese Sie bei der Identifizierung weiterer Bedrohungsszenarien unterstützen können.

So weit die Theorie. Aber ist dieser Angriff realistisch?

In der Praxis kann nicht jeder Angriff durchgeführt werden. Vielleicht steht eine Verschlüsselung im Weg. Deshalb betrachten wir nun das tatsächliche Angriffspotenzial.

Es gibt fünf Schlüsselparameter für Ihre Beurteilung:

• der Zeitaufwand,
• das erforderliche Fachwissen und
• Produkt-Know-how sowie
• die Ausrüstung und
• das Window of Opportunity. 

Sobald wir wissen, ob ein Angreifer einen Angriff erfolgreich durchführen kann, haben wir Ziel Nummer zwei erreicht: Bewertung der Durchführbarkeit eines Angriffs.

Dies wird auch als Ease of Attack bezeichnet.

Für diesen Schritt kombinieren wir die Ergebnisse der beiden Ziele – Auswirkungen des Schadens (1. Ziel) und Bewertung der Durchführbarkeit des Angriffs (2. Ziel).

Wir haben also zwei Ratings, die den Risikowert bestimmen:

1. die Auswirkung des zugehörigen Schadensszenarios und
2. die Durchführbarkeit der Angriffspfade.

Risikowert = Auswirkung des Schadens x Durchführbarkeit des Angriffs

Normalerweise haben wir jedoch unterschiedliche Stakeholder. Einige von ihnen bewerten die Risiken sehr unterschiedlich. Das macht die Sache schwierig – wahrscheinlich müssen wir für jeden Interessenvertreter einen anderen Risikowert anwenden.

In jedem Fall haben wir das dritte Ziel erreicht: Wir kennen den Risikowert.

Wenn die Risiken erst einmal auf dem Tisch liegen, stellt sich die Frage, wie man mit ihnen umgeht.

Es gibt grundsätzlich eine Reihe von Optionen für den Umgang mit Risiken:

1. Vermeidung
2. Reduzierung 
3. Weitergabe oder Übertragung an Dritte
4. Akzeptanz

Ein geeigneter Modus zur Risikominderung ist die Festlegung einer Security-Kontrolle (technisch oder organisatorisch) oder die Einführung von Redundanz. Dritte, die an einem Risikotransfer interessiert sind, sind beispielsweise Versicherungsgesellschaften. 

Entscheiden Sie nun, wie Sie das Risiko managen wollen.

Achtung: Es ist sehr schwierig zu beurteilen, wie effektiv eine Cybersecurity-Kontrolle ist. Hier steht und fällt jedoch jede Risikobeurteilung.

Die Ziele und Claims der Cybersecurity spezifizieren Sie aus

• den Ergebnissen der TARA und
• Ihre Entscheidungen darüber, wie mit den Risiken letztlich umgegangen werden soll.

Wenn Sie sich entscheiden, dass Sie ein Risiko vermeiden wollen, dann geht es zurück auf Los – Sie sollten eine alternative technische Lösung in Betracht ziehen.

Die Cybersecurity-Ziele bilden das vierte Ziel der TARA. 

Sie haben gesehen, dass alle Schritte aufeinander aufbauen. Wie eine Perlenkette bezieht sich der nächste Schritt in der Regel auf seinen Vorgänger und wertet ihn aus oder entwickelt ihn weiter. 

Definieren Sie Ihren Untersuchungsgegenstand oder Ihr System, bevor Sie mit der Vorbereitung für Ihre TARA beginnen.