3. TARA 威胁分析与风险评估
第 3 章 · 常规问答
TARA 威胁分析与风险评估
资产识别 · 威胁场景 · 攻击路径 · 风险值计算
TARA（Threat Analysis and Risk Assessment）是汽车网络安全合规的核心方法论，也是面试中区分“理论派”与“实战派”的关键分水岭。面试官不仅考察你对 ISO/SAE 21434 流程的熟悉度，更关注你能否在资产识别、攻击路径建模、风险值计算中做出合理判断。本章通过 3 个高频问答与 1 个真实项目模板，帮你建立结构化应答框架。
请描述 TARA 中资产识别的主要步骤，并举例说明如何确定资产的安全属性（CIA）。
回答框架
- 定义资产边界
- 枚举资产清单
- 标注 CIA 属性
- 关联损害场景
示例回答：资产识别先划定项目边界，列出 ECU、传感器、总线、固件、密钥等。以网关为例，其固件完整性对应完整性，诊断接口对应可用性，密钥存储对应机密性。再结合损害场景（如刹车失效）确定安全属性优先级。
可能追问
- 如何区分“资产”与“组件”？
- 如果资产清单遗漏了某个接口，会有什么后果？
- ISO 21434 中资产识别与威胁场景的关系？
避坑提醒：不要只罗列硬件，忽略数据、密钥、诊断服务等“软资产”；避免把 CIA 属性与损害场景混为一谈。
如何构建攻击路径？请结合 STRIDE 或攻击树说明，并评估攻击可行性。
回答框架
- 选择建模方法
- 拆解攻击步骤
- 评估可行性
- 关联威胁场景
示例回答：以 OTA 升级为例，用攻击树拆解：获取升级包→绕过签名校验→刷写恶意固件。可行性从攻击时间、专业能力、设备成本三维评估。若签名校验可绕过且工具易得，则可行性高，需优先缓解。
可能追问
- 攻击树和 STRIDE 如何配合使用？
- 如何量化攻击可行性？
- 针对同一资产，多条攻击路径如何排序？
避坑提醒：不要只画一条路径，忽略攻击者可能组合利用多个漏洞；可行性评估避免主观“高/中/低”，要给出具体依据。
风险值如何计算？请说明常用公式及参数含义，并举例说明如何确定风险等级。
回答框架
- 选择计算模型
- 定义参数取值
- 计算风险值
- 映射等级与处置
示例回答：常用风险值 = 损害严重度(S) × 攻击可行性(F) × 暴露概率(P)。S 取 1-4，F 取 1-4，P 取 1-3。例如 S=3、F=2、P=2，风险值=12，对应中风险，需采取缓解措施并跟踪残余风险。
可能追问
- 不同主机厂的风险矩阵有何差异？
- 如何确定 S、F、P 的取值？
- 风险值相同但场景不同，如何决策？
避坑提醒：不要只背公式，忽略参数定义的上下文；避免将风险值与“漏洞评分”直接等同，TARA 更关注整车损害。
真实项目模板 · TARA 实战案例
项目名称
智能网关 TARA 分析项目
业务背景
某主机厂 L2+ 车型网关需满足 ISO/SAE 21434 合规
规模指标
覆盖 12 个 ECU、3 条总线、47 项资产
技术栈
ISO 21434、STRIDE、攻击树、风险矩阵
核心难点
跨域攻击路径建模、OTA 升级链路威胁分析、残余风险沟通
面试高频追问
- 如何确定资产清单的完整性？
- 攻击路径中如何考虑“组合攻击”？
- 风险值计算时，S/F/P 的取值依据是什么？
- 如何向非安全背景的项目经理解释残余风险？
可迁移回答话术
“在网关 TARA 中，我首先基于接口清单识别出 47 项资产，再用攻击树拆解 OTA 升级路径，发现签名校验绕过风险。通过 S×F×P 计算风险值为 16，属于高风险，推动增加安全启动与双签名机制，最终残余风险降至可接受范围。”