VSOC建设误区、核心功能及建设要点有哪些？

在VSOC 建设过程中因为概念不清晰、专家知识欠 缺、工程规划缺陷以及开发部署能力较弱 等因素导致成本及资源的浪费，甚至可能 埋下新的安全隐患并给管理带来更多问 题从而导致VSOC项目的失败。

1.VSOC建设误区

我们总结了VSOC建设过程中几大常见误 区，这些误区广泛存在于不同类型车企/ 供应链企业，供行业管理者及工程人员 参考： VSOC选型失策：将IDS、EDR等信息汇总 工具定义为VSOC，而针对汽车核心资产 及智能化服务的威胁检测能力缺失，导致 VSOC形同虚设。另外缺乏拓展性及弹性 架构设计的VSOC也使得车企无法应对迅 速变化的车辆安全运营需要。

过于强调Dashboard而忽略了VSOC功 能：调度中心的大屏幕并不能从根本上帮 助安全团队真正做到安全运营。在UI及呈 现方面过多的关注会分散VSOC建设的注 意力，我们建议更多关注VSOC功能实现 而非呈现； 分析功能不专注于汽车：威胁分析能力是 决定VSOC成功的关键，对汽车的SOC来 讲，车辆攻击事件的分析需要有丰富经验 和持续的研究投入。仅仅分析操作系统和 网络资源，会产生大量的误报和漏报，极 大程度打击车辆安全运营团队的信心；

情报/数据源不够丰富：单一的数据来源 无法为车辆安全事件分析提供上下文支 撑，车辆安全团队无法做到全面快速响 应和预警； 跨部门之间缺乏协作：缺乏组织架构保障 的情况下，无法真正保障威胁分析的准确 性、安全事件的及时响应能力，甚至有可 能造成安全运营工作的停摆。

2.VSOC核心功能

VSOC 需要通过一系列的功能满足对智 能网联汽车核心资产和智能化服务的监 测和防御要求。尽管部分标准只关注车 辆或者某个ECU 本身的安全，但是从各 类攻击报告和事件的统计来看，我们倾 向于将汽车智能化服务及核心资产纳入 到考量范畴，因为攻击者通常不会遵循 某一特定向量对汽车发起攻击。尽管当 前少有企业能建设满足以下全部功能的 VSOC，我们仍建议企业在实际建设过程 中从自身规模、团队成熟度等因素出发， 做出更为谨慎的选择：

3.VSOC建设要点

除了需要时刻避免因规划不当、工程能力 不足、保障不够等问题导致的VSOC项目 失败之外，我们也给VSOC的管理和建设 者们提供以下建议，以确保不同规模的 VSOC有效运转。 充分了解车联网系统及行业：了解汽车 及网络安全行业变化；合规范围及工作 内容；车辆资产及供应商；用户行为及智 能服务；及时关注威胁报告；深入理解 关键系统和数据类型，并不断跟踪汽车 行业技术变化；

充分赋予VSOC完成工作的权利：调整组 织架构，充分授权给VSOC团队，确保其所 需的职责、工作范围、合作关系和责任； 构建符合企业特点的VSOC：通过服务 对象确认VSOC的架构，电动汽车、车 队、OEM及供应链等不同类型不同规模 的企业所需VSOC存在较大区别，建议优 先考虑选择最高效的VSOC架构； 雇佣并培养高素质人员：考虑到汽车行 业网络安全人才缺乏的现状，我们建议 创造良好的职业发展机会和环境留住人 才。同时考虑部门内人员流动的可能，通 常情况下网络安全团队广泛的跨领域知 识和风险管理经验对现代车企数字化转 型具备较大价值；

优先考虑对异常的响应能力：通过所定 义汽车事件类别、响应流程和转变趋势 将进行编排并纳入SOP及PLAYBOOK， 确定事件的优先级并分配资源以应对； 利用威胁情报提前应对：通过分析更有 针对性的汽车攻击事件、漏洞情况、测试 报告、研究趋势等，确认这些数据信息其 与车辆资产的交叉点，以确保新型攻击 在第一时间发现； 选择恰当的数据以分析：车辆异常信息 的分析通常需要更多维度的数据类型， 充分理解各类型的数据有利于快速锁定 上下文信息并定位问题。同时也应充分考 虑对已下线无Agent / Sensor / EDR 情 况下的车辆威胁监测；

利用工作流程管理工具：统一和协调内 部对数据和工具的使用，最大程度提升 VSOC的流程能力，促进IT安全、大数据 和车辆安全团队协作； 清晰沟通、保持合作、慷慨分享：利用 VSOC吸引促进用户、供应商、SRC、白帽 子、研究机构之间沟通协作，同时提升能力 为汽车网络安全社区做出更广泛贡献； 衡量效果并不断提升：量化VSOC的运 行效率，了解VSOC的运作情况以及改进 目标。包括监测车辆信息、数据源处理分 析、安全报告及事件响应时间等； 扩展VSOC功能提升绩效：通过实施攻 防演练、渗透测试、等活动，协助提升 VSOC团队的声量和VSOC的运营能力。 从而提升车企安全形象。