2. 企业网络资产梳理与风险建模
纵深防御的第一块基石不是防火墙策略，也不是检测规则，而是"我们到底有什么"。资产梳理回答的是"保护对象是谁"，风险建模回答的是"它们最可能怎么被打穿、先打哪里"。两者合起来，才构成后续边界防护、身份控制、监测响应与优先级排序的输入。本节按"资产分类分级 → 攻击面识别 → 威胁建模（STRIDE）→ 风险量化与排序"的顺序展开，并给出可直接套用的评分表与建模示例。
一、资产分类分级：先建立可维护的资产台账
资产梳理的产出不是一张清单，而是一份可持续维护的台账。建议每条资产至少记录：资产ID、名称、类型、归属业务、责任人、网络区域、暴露面（互联网/内网/隔离区）、承载数据等级、依赖关系、生命周期状态。分类维度建议采用"类型 + 业务属性"双轴：类型分为终端、服务器、网络设备、安全设备、数据库、中间件、应用系统、云资源、工控设备、账号与密钥、数据资产；业务属性用于标注它支撑哪条业务线。
分级则决定保护强度。可采用四级模型：L4 核心（如交易库、身份认证、密钥管理，泄露或中断造成重大业务与合规损失）、L3 重要（如订单系统、办公域控）、L2 一般（如内部测试环境、普通文件共享）、L1 公开（如对外宣传站点）。分级依据三个问题：数据敏感度、业务中断容忍时间（RTO）、被攻陷后的横向扩散能力。例如一台能访问核心数据库的运维跳板机，即使自身数据不敏感，也应定为 L3 以上，因为它具备"高权限通道"属性。
二、攻击面识别：从"资产清单"到"可被利用的入口"
攻击面是攻击者能够接触并尝试利用的全部入口集合。识别方法是从外向内分层枚举：
- 外部攻击面：域名与子域名、公网IP与开放端口、VPN/邮件/门户等对外服务、第三方托管与云存储桶、供应链接口、员工在公开渠道泄露的账号信息。
- 边界与远程接入面：VPN网关、远程桌面网关、堡垒机、无线接入、分支机构互联链路。
- 内部攻击面：域控与认证服务、共享目录、数据库监听端口、管理后台、未打补丁的中间件、弱口令与复用口令。
- 人与流程面：钓鱼邮件可达性、权限审批漏洞、离职账号未回收、外包人员接入。
识别时可用"资产 × 暴露方式 × 访问路径"三列法逐条推演。例如：资产=财务系统，暴露方式=通过VPN访问，访问路径=互联网→VPN→内网→应用。任何一条路径上缺少认证、补丁或分段控制，就是一个可记录的攻击面条目。建议为每个攻击面标注"是否已验证可达"，避免把"可能存在"当成"已确认"。
三、STRIDE 威胁建模：给每个入口配一套攻击假设
STRIDE 是微软提出的威胁分类框架，把威胁分为六类：Spoofing（仿冒）、Tampering（篡改）、Repudiation（抵赖）、Information Disclosure（信息泄露）、Denial of Service（拒绝服务）、Elevation of Privilege（权限提升）。它的价值在于：对每个资产或数据流，逐类提问"这里可能发生什么"，从而把模糊的"有风险"变成具体的威胁条目。
建模步骤：①画出数据流图（DFD），标出外部实体、进程、数据存储、数据流与信任边界；②对每个跨越信任边界的数据流套用 STRIDE；③为每条威胁记录"威胁描述、受影响资产、攻击前提、潜在影响"。以"用户登录财务系统"为例：仿冒对应撞库或钓鱼窃取口令；篡改对应登录请求被中间人修改；信息泄露对应口令明文传输；权限提升对应普通账号越权访问管理员接口。这样得到的威胁列表可以直接映射到控制措施：多因素认证、TLS、最小权限、审计日志。
四、风险量化与优先级排序：把威胁变成可执行的工单
威胁列表本身没有优先级，必须量化。推荐使用"可能性 × 影响"的 5×5 矩阵：可能性按"攻击前提是否容易满足、是否有公开利用工具、是否需要内部权限"打分；影响按"数据泄露范围、业务中断时长、合规处罚、横向扩散能力"打分。风险值 1–25，≥15 为高，8–14 为中，≤7 为低。同一风险值下，资产等级高者优先。
为了让评分可复现，建议固定评分锚点。例如可能性：5=无需认证且已有公开EXP；4=需弱口令或已知漏洞；3=需钓鱼成功；2=需内部网络位置；1=需物理接触。影响：5=核心数据泄露或业务中断超4小时；4=重要系统中断1–4小时；3=一般系统受影响；2=局部影响可快速恢复；1=几乎无影响。锚点固定后，不同人评分差异会显著缩小。
下面给出一份可直接填写的风险登记表示例（示例数据为教学假设，非实测结果）：
| 威胁ID | 资产 | STRIDE | 可能性 | 影响 | 风险值 | 等级 | 处置建议 |
|---|---|---|---|---|---|---|---|
| T-001 | VPN 网关 | S 仿冒 | 4 | 5 | 20 | 高 | 启用 MFA、限制来源IP、口令策略 |
| T-002 | 财务数据库 | I 泄露 | 3 | 4 | 12 | 中 | 网络分段、加密传输、访问审计 |
| T-003 | 运维跳板机 | E 提权 | 3 | 5 | 15 | 高 | 最小权限、会话录制、双人复核 |
| T-004 | 测试站点 | R 抵赖 | 2 | 2 | 4 | 低 | 开启基础日志，纳入季度检查 |
排序完成后，处置动作应落到三类：立即修复（高风险且修复成本低，如关闭多余端口、启用 MFA）、计划整改（中风险，纳入版本迭代）、接受并监控（低风险，记录并定期复核）。同时要建立闭环：每条威胁对应一个责任人和一个验证方式，例如"启用 MFA 后，用错误口令连续登录 5 次应触发锁定并产生告警日志"，以此判断控制是否真正生效。
把上述四步串起来，企业就得到了一条从"有什么"到"先修什么"的可追溯链路：资产台账提供保护对象，攻击面识别圈定入口，STRIDE 生成具体威胁假设，风险矩阵给出排序与处置依据。这条链路的输出，正是后续边界防护策略、身份权限设计、监测规则与响应预案的直接输入。