4. 安全基线概述
在嵌入式设备安全工程中，“安全基线”是一个贯穿设计、开发、测试与验收全过程的基准概念。它并不是某一款具体的安全产品，也不是一次性的加固脚本，而是一组可度量、可验证、可复现的最低安全要求集合。理解基线的定义、标准来源、分级方式与适用场景，是后续开展设备加固、测试验收与合规审计的前提。
一、基线定义：从“最低要求”到“可验收指标”
安全基线（Security Baseline）是指针对特定类型设备、特定应用场景，由标准组织、行业监管方或企业自身制定的最低安全配置与能力要求。它回答三个问题：设备必须具备哪些安全能力？这些能力应达到什么参数水平？如何证明它已经达到？
与“安全目标”不同，基线强调下限而非上限。例如“支持安全启动”是能力要求，“安全启动必须校验 BootROM 之后的每一级镜像签名”则是基线条款；“口令长度不少于 8 位且禁止默认口令”是可验收的量化指标。基线条款通常具备三个特征：
- 可验证性：能通过配置读取、日志分析、渗透测试或代码审计给出“通过/不通过”的结论。
- 最小性：只规定必须满足的底线，不限制更高安全能力的实现方式。
- 场景相关性：同一设备用于消费级还是工业控制，基线强度不同。
二、国际与国内标准：基线的来源与映射
嵌入式设备安全基线并非凭空制定，而是从国际、国内标准与行业规范中裁剪、映射而来。常见的来源包括：
| 标准/规范 | 适用范围 | 与基线的关系 |
|---|---|---|
| IEC 62443 系列 | 工业自动化与控制系统（IACS） | 定义安全等级 SL1~SL4，是工控嵌入式设备基线分级的重要依据 |
| ISO/IEC 27001 与 27002 | 信息安全管理体系 | 提供资产管理、访问控制、密码策略等控制项，可裁剪为设备基线 |
| GB/T 22239（等保 2.0） | 国内网络安全等级保护 | 按一级至五级提出安全通用要求，嵌入式设备常作为“物联网/工控”扩展要求对象 |
| GB/T 30976 系列 | 工业控制系统信息安全 | 给出评估规范与验收指南，可直接转化为设备验收基线 |
| GB/T 38628 等物联网标准 | 物联网终端与网关 | 涉及身份鉴别、访问控制、数据保护等终端基线条款 |
| NIST SP 800-53 / 800-193 | 美国联邦信息系统与平台固件 | 平台固件弹性指南，常用于安全启动、固件恢复基线设计 |
在实际项目中，通常采用“标准映射 + 企业裁剪”的方式：先选取适用标准，再结合设备形态、通信接口、部署环境裁剪出可执行的条款清单。例如一款工业网关，可同时引用 IEC 62443-4-2 的组件要求与 GB/T 22239 的物联网扩展要求，形成自己的验收基线。
三、基线分级：SL 等级与适用场景
基线分级解决“不同设备、不同场景该用多严的尺子”的问题。IEC 62443 提出的安全等级（Security Level, SL）是最具代表性的分级模型，通常分为 SL1~SL4：
- SL1（防偶然或初级攻击）：适用于低价值、隔离部署的消费类或辅助设备，如普通传感器节点。
- SL2（防简单工具化攻击）：适用于有网络暴露面、承载一般业务数据的设备，如商用路由器、办公打印机。
- SL3（防复杂定向攻击）：适用于工业控制、能源、交通等关键场景中的嵌入式控制器与网关。
- SL4（防国家级/高级持续性威胁）：适用于极高价值、可能遭受 APT 攻击的核心设备，成本与复杂度最高。
国内等保 2.0 的一至五级、以及行业内部的“基础级/增强级/严格级”划分，本质上也是分级思想的体现。分级不是越高越好，而是要与资产价值、威胁环境、合规要求、成本约束匹配。过度分级会导致开发周期与物料成本失控，分级不足则留下验收风险。
四、方法流程：从标准到可执行基线
制定一条可验收的基线，通常遵循以下流程：
- 资产与场景识别：明确设备类型、部署位置、通信接口、数据敏感度。
- 标准选取与映射：选择 IEC 62443、GB/T 22239 等适用标准，提取相关条款。
- 等级判定：依据威胁环境与资产价值确定目标 SL 或等保级别。
- 条款裁剪与量化：把“应支持安全启动”细化为“BootROM 校验一级引导签名，失败则进入恢复模式”。
- 验证方法定义：为每条基线指定测试手段，如串口读取、固件解包、协议抓包、渗透测试。
- 评审与冻结：由安全、研发、测试、合规多方评审后冻结版本，作为验收依据。
例如某工业网关的基线条款可写成如下可执行形式：
BASELINE-GW-001 安全启动
要求：BootROM 校验一级引导签名，一级引导校验内核与根文件系统签名
验证：拆解固件，确认签名头存在；篡改镜像后设备拒绝启动
等级：SL3
BASELINE-GW-002 默认口令
要求：出厂无默认口令，首次上电强制设置不少于 10 位复杂口令
验证：恢复出厂设置后登录，检查是否强制改密
等级：SL2 及以上
BASELINE-GW-003 通信加密
要求：管理面禁用 Telnet/HTTP，仅允许 SSH/HTTPS
验证：端口扫描 + 协议探测
等级：SL2 及以上五、案例与误区复盘
某团队在开发一款智能电表时，直接套用了消费类路由器的基线：只要求修改默认口令、关闭 Telnet。设备通过内部验收后，在电网客户现场被要求提供 IEC 62443-4-2 的组件安全证据，结果发现缺少安全启动、固件签名与安全日志，导致项目返工三个月。复盘发现两个典型误区：
- 误区一：基线“一刀切”。不同场景设备共用一套低强度基线，导致高价值设备验收不通过。
- 误区二：只写要求，不写验证方法。条款停留在“应支持加密”，验收时无法判定是否合格。
综上，安全基线是嵌入式设备安全验收的“度量衡”。它以 IEC 62443、GB/T 22239、GB/T 30976 等标准为来源，通过分级匹配场景，通过量化条款与验证方法落地。只有把基线定义清楚、等级选对、条款写实，后续的加固、测试与验收才有稳固的起点。