2. 边缘网关威胁建模：资产识别与分类、常见攻击面分析、STRIDE方法论在边缘场景的应用
威胁建模这件事，说白了就是在攻击者动手之前，先替他们想好怎么搞破坏。我在做边缘网关安全加固时，第一步从来不是直接上防火墙策略，而是先坐下来，把家底摸清楚——我们到底要保护什么？敌人可能从哪里来？
这一章，我们就来聊聊边缘场景下的威胁建模实战。我会结合自己踩过的坑，把资产识别、攻击面分析和STRIDE方法论串起来讲。
2.1 资产识别与分类：先搞清楚你要保护什么
很多团队一上来就搞安全策略，结果连网关上有哪些接口、跑什么服务都没列全。我见过一个项目，上线后才发现有个调试端口还开着，被扫出来直接打穿。嗯，这就是资产识别没做到位。
我个人习惯把边缘网关的资产分成四类：
| 资产类别 | 具体内容 | 典型风险 |
|---|---|---|
| 硬件资产 | CPU、内存、存储、加密芯片、TPM、物理接口（USB/串口/网口） | 物理篡改、侧信道攻击、调试接口暴露 |
| 固件资产 | Bootloader、内核、文件系统、设备驱动、安全启动链 | 固件逆向、恶意固件注入、启动链劫持 |
| 网络资产 | IP/端口、通信协议（MQTT/CoAP/HTTP）、TLS证书、VPN隧道 | 中间人攻击、协议重放、证书伪造 |
| 应用资产 | 业务服务、API接口、身份认证模块、日志审计模块 | API越权、注入攻击、认证绕过 |
2.2 常见攻击面分析：敌人可能从哪里下手？
攻击面分析，就是站在攻击者的角度，把网关的每个入口都摸一遍。我把它拆成四个维度来讲。
2.2.1 物理攻击面
边缘网关往往部署在无人值守的现场，比如工厂车间、路边机柜、甚至野外杆塔。攻击者物理接触设备后，能干的事太多了。
- 调试接口滥用： 串口（UART）、JTAG/SWD接口如果没做物理防护，攻击者直接焊线就能拿到shell。我曾经在一个项目中，发现某款网关的UART接口连密码都没设，插上就能root登录。
- 存储芯片读取： 拆下Flash或eMMC芯片，用编程器直接读固件。很多设备连加密都没做，固件里的密钥和证书一览无余。
- 侧信道攻击： 通过功耗分析或电磁辐射，窃取加密密钥。虽然门槛高，但针对高价值目标时确实存在。
2.2.2 网络攻击面
边缘网关是网络边界设备，南北向和东西向流量都要经过它。网络攻击面是最容易被利用的。
- 未授权服务暴露： 默认开放的Telnet、SNMP、HTTP管理接口，如果没做访问控制，直接暴露在公网上就是靶子。
- 协议漏洞： MQTT Broker未鉴权、CoAP无加密、Modbus TCP明文传输——工业协议天生缺乏安全设计，攻击者可以轻松伪造报文。
- 中间人攻击： 如果TLS配置不当（比如证书验证关闭、使用自签名证书且不校验），攻击者可以在网关和云端之间插一脚。
2.2.3 固件攻击面
固件是网关的“操作系统”，一旦被攻破，整个设备就沦陷了。
- 固件提取与逆向： 通过OTA更新包或物理读取，拿到固件后用binwalk解包，分析文件系统、查找硬编码密钥和后门。
- 安全启动绕过： 如果Bootloader没做签名校验，攻击者可以刷入篡改过的固件，实现持久化控制。
- 内核漏洞： 老旧内核（比如Linux 2.6/3.x）存在大量已知漏洞，攻击者利用公开exp就能提权。
2.2.4 应用攻击面
网关上的业务应用，比如数据采集、规则引擎、API网关，是攻击者最常光顾的地方。
- API越权： 接口没有做细粒度的权限校验，攻击者通过枚举用户ID就能访问其他租户的数据。
- 注入攻击： SQL注入、命令注入、XSS——这些Web老问题在边缘应用里一样存在。
- 认证绕过： Session固定、Token泄露、弱密码爆破，都是常见手法。
2.3 STRIDE威胁建模方法论在边缘场景的应用
STRIDE是微软提出的威胁建模框架，把威胁分成六类：Spoofing（假冒）、Tampering（篡改）、Repudiation（抵赖）、Information Disclosure（信息泄露）、Denial of Service（拒绝服务）、Elevation of Privilege（权限提升）。
你想想看，这六类威胁在边缘网关场景下，每个都能找到活生生的例子。我习惯画一张数据流图（DFD），把网关的每个组件、外部实体和数据流标出来，然后逐条过STRIDE。
下面这张图是我做边缘网关威胁建模时常用的框架，你可以参考一下：
2.3.1 Spoofing（假冒）
攻击者伪装成合法设备或用户接入网关。比如伪造传感器ID上报虚假数据，或者冒充运维人员登录管理界面。
我的对策： 双向mTLS认证 + 设备指纹。每个网关和云端之间、网关和传感器之间，都做证书级别的身份校验。我在项目中遇到过假冒传感器注入虚假告警的案例，加了设备指纹后，伪造的报文直接被网关丢弃。
2.3.2 Tampering（篡改）
数据在传输或存储过程中被恶意修改。比如篡改OTA固件包、修改配置文件、篡改日志记录。
我的对策： 固件签名 + 完整性校验。Bootloader只加载签名过的内核，内核只加载签名过的文件系统。配置文件和日志也要做HMAC校验，防止被偷偷改掉。
2.3.3 Repudiation（抵赖）
用户或设备否认自己做过某个操作。比如运维人员登录后删除了关键配置，事后说“我没干”。
我的对策： 不可抵赖的审计日志。所有操作记录必须包含时间戳、操作者身份、操作内容，并且日志本身要防篡改（比如写入区块链或使用安全的日志服务器）。
2.3.4 Information Disclosure（信息泄露）
敏感数据被未授权的人看到。比如固件中的硬编码密钥、通信流量中的明文密码、日志中的用户隐私。
我的对策： 敏感数据加密存储 + 最小权限原则。密钥放在HSM或TPM里，日志脱敏后再落盘，通信全链路加密。我曾经在审计一个项目时，发现网关的日志文件里居然记录了用户的明文密码——这简直是给攻击者送弹药。
2.3.5 Denial of Service（拒绝服务）
攻击者让网关无法正常提供服务。比如泛洪攻击、资源耗尽、协议漏洞导致进程崩溃。
我的对策： 速率限制 + 资源隔离。每个服务分配独立的CPU和内存配额，防止一个服务被打瘫拖垮整个网关。同时，在网关上部署轻量级的WAF或IPS，过滤恶意流量。
2.3.6 Elevation of Privilege（权限提升）
低权限用户或进程获取了更高权限。比如Web应用漏洞导致攻击者拿到root shell。
我的对策： 最小权限 + 容器化隔离。业务进程用非root用户运行，关键操作需要二次授权。我建议把网关上的服务都跑在容器里，即使某个容器被攻破，攻击者也很难逃逸到宿主机。
好了，这一章的内容就到这里。威胁建模不是一次性的工作，而是需要持续迭代的过程。每次网关新增功能或接入新设备，都要重新过一遍资产识别和威胁分析。记住，安全不是终点，而是持续改进的过程。