4. EN18031 风险评估方法论

在物联网安全认证的框架下，风险评估是EN18031标准的核心环节。它帮助组织识别、量化并优先处理安全风险，从而为后续的安全控制措施提供决策依据。本章将系统性地拆解风险评估的完整流程，涵盖从资产识别到风险等级评定的每一个关键步骤。

4.1 风险评估流程

EN18031 推荐的风险评估流程遵循一个闭环的、迭代的模型，确保安全评估的持续有效性。该流程通常包含以下五个核心阶段：

阶段一：背景建立 —— 确定评估范围、目标、组织风险偏好及关键业务影响。
阶段二：风险识别 —— 识别资产、威胁、现有控制措施及脆弱性。
阶段三：风险分析 —— 分析风险发生的可能性及潜在影响，确定风险等级。
阶段四：风险评价 —— 将分析结果与风险准则对比，确定风险优先级。
阶段五：风险处置 —— 选择并实施安全控制措施，降低风险至可接受水平。

图4-1：EN18031 风险评估迭代流程

4.2 资产识别方法

资产是组织需要保护的任何有价值的东西。在物联网环境中，资产不仅包括物理设备，还涵盖数据、软件和服务。常用的资产识别方法包括：

访谈与问卷：与系统所有者、运维人员及业务负责人沟通，了解资产清单。
文档审查：分析网络拓扑图、系统架构文档、配置管理数据库（CMDB）。
自动化扫描：使用网络扫描工具（如Nmap）发现联网设备。
物理巡检：实地检查机房、生产线、边缘节点等物理环境。

以下表格展示了物联网系统中常见的资产分类示例：

资产类别	具体示例	关键属性
硬件设备	传感器、网关、路由器、智能摄像头	固件版本、序列号、物理位置
软件/固件	操作系统、嵌入式固件、云平台中间件	版本号、补丁状态、依赖关系
数据资产	用户隐私数据、遥测数据、密钥证书	敏感度等级、存储位置、加密状态
服务/接口	API网关、OTA升级服务、认证服务	SLA、访问控制策略、日志记录

图4-2：资产识别方法分类

4.3 威胁建模技术

威胁建模是一种结构化的方法，用于识别、量化和解决系统面临的安全威胁。EN18031 认证中常用的威胁建模技术包括：

STRIDE 模型：由微软提出，涵盖欺骗(S)、篡改(T)、抵赖(R)、信息泄露(I)、拒绝服务(D)、权限提升(E)六类威胁。
攻击树分析：以树状图形式表示攻击者的目标与达成该目标所需执行的子步骤。
数据流图 (DFD)：通过绘制系统数据流动路径，识别信任边界与潜在攻击面。
MITRE ATT&CK for IoT：基于真实世界攻击战术和技术构建的知识库。

以下是一个基于 STRIDE 模型的威胁分析示例表：

威胁类型	描述	物联网示例
欺骗 (Spoofing)	冒充合法用户或设备	伪造传感器身份注入虚假数据
篡改 (Tampering)	未经授权修改数据或代码	篡改固件升级包植入后门
抵赖 (Repudiation)	用户否认执行过某操作	设备否认发送过恶意指令
信息泄露 (Info Disclosure)	敏感数据被未授权访问	通过侧信道攻击提取加密密钥
拒绝服务 (DoS)	使系统资源不可用	向网关发起SYN洪水攻击
权限提升 (Elevation)	获得超出授权的权限	利用缓冲区溢出获取root shell

图4-3：攻击树示例 —— 获取设备控制权

4.4 脆弱性分析

脆弱性是指资产中存在的、可能被威胁利用的弱点。在EN18031框架下，脆弱性分析通常结合自动化扫描与人工审查进行。常见的脆弱性来源包括：

配置脆弱性：默认密码、开放不必要的端口、弱加密算法。
设计脆弱性：缺乏安全启动、未对输入进行校验、不安全的通信协议。
实现脆弱性：缓冲区溢出、SQL注入、硬编码密钥。
运维脆弱性：补丁管理缺失、日志审计不足、物理防护薄弱。

以下是一个简化的脆弱性评估清单示例：

# EN18031 脆弱性检查清单 (片段)
[+] 固件版本: v2.1.3 (最新: v2.2.0)  ->  存在已知CVE-2024-XXXX
[+] SSH服务: 启用, 端口22, 允许密码登录  ->  建议禁用密码登录
[+] Web管理界面: HTTP协议, 无HSTS  ->  建议强制HTTPS
[+] 调试接口: UART未锁定, 可获取root shell  ->  建议物理禁用
[+] 存储: 密钥以明文存储在/etc/config  ->  建议使用HSM或SE

图4-4：脆弱性分析四大维度

4.5 风险计算与等级评定

风险计算是将威胁发生的可能性与脆弱性被利用后造成的影响相结合的过程。EN18031 通常采用半定量或定性的方法进行评定。基本公式为：

Risk = Likelihood × Impact

其中：

可能性 (Likelihood)：威胁源发起攻击的难易程度、动机强弱及脆弱性被利用的难易度。
影响 (Impact)：安全事件对机密性、完整性、可用性造成的损害程度，通常以财务、声誉或合规后果衡量。

以下是一个五级风险等级评定矩阵示例：

风险等级	分值范围	处置优先级
极高 (Critical)	15 - 25	立即处置
高 (High)	10 - 14	尽快处置
中 (Medium)	5 - 9	计划处置
低 (Low)	1 - 4	接受或监控

📚 课程目录