📚 课程目录第4章资产识别与分类

资产识别与分类：找到你要保护的东西

做 TARA 分析，第一步不是找漏洞，而是搞清楚——你到底要保护什么？

很多人一上来就翻漏洞库、查攻击路径，结果做到一半发现连分析对象都没定义清楚。嗯，这就像你要修车，却连发动机在哪都不知道。

我个人习惯，拿到一个项目，先花半天时间把资产清单拉出来。这个习惯帮我避过不少坑。

ISO 21434 里对资产的定义其实很直白：凡是可能被攻击者利用，或者一旦受损会影响车辆安全、功能、数据或用户隐私的东西，都是资产。

说白了，资产就是攻击者想要的东西，或者攻击者能用来搞破坏的东西。

核心判断标准：一个元素是否属于网络安全资产，看它是否满足以下任一条件——

我曾经遇到一个团队，把车机里的导航地图数据当成普通文件处理，结果 TARA 分析时才发现——地图数据里嵌着路侧单元的认证证书。这个疏忽差点导致整个 V2X 通信链路的信任模型崩塌。

识别资产不是拍脑袋，得有方法。我一般按三个维度来扫：

ECU、传感器、执行器、网关、域控制器……这些是看得见摸得着的。但要注意，同一个硬件可能包含多个资产。比如一个智能摄像头，镜头是传感器，内部的 ISP 芯片是处理器，固件存储区是数据资产。

这个容易被忽略。你想想看，一个 ECU 里跑的代码、配置参数、诊断服务、安全启动的签名证书，哪个不是资产？

我建议把软件资产分成三类：

一个小技巧：做软件资产识别时，把 ECU 的软件拆成「启动阶段」「运行阶段」「诊断阶段」三个时间片，每个时间片单独列资产。这样不容易漏掉安全启动链上的关键环节。

车里的通信链路，本质上就是数据流动的管道。管道本身可能被窃听、篡改、重放，所以它也是资产。

常见的通信链路资产包括：

我记得有个项目，客户坚持说 CAN 总线不是资产，因为「它只是根线」。后来我们做了个简单的攻击树分析——攻击者只要在 OBD 接口上挂一个 CAN 嗅探器，就能拿到所有未加密的报文。这根「线」直接成了攻击面。

识别完资产，下一步是分类。分类不是为了好看，是为了后续的威胁分析和风险评估能对号入座。

我常用的分类框架有三个维度：

这是最直观的分类方式，直接对应整车架构：

这个维度直接对应 CIA（机密性、完整性、可用性）三元组，但汽车场景下我习惯加两个：

这个维度是我自己总结的，用来快速判断资产暴露在什么威胁下：

注意：同一个资产可能同时属于多个分类。比如 T-Box 既是网联域资产，又涉及机密性（存储密钥）和可用性（保证紧急呼叫功能），同时暴露在无线和远程攻击面下。分类时不要硬套一个维度，多维度标注才能覆盖全面。

识别和分类做完，最终要输出一份资产清单。我习惯用表格来组织，每项资产至少包含以下字段：

这份清单会直接喂给下一步的威胁场景分析。清单的质量，决定了 TARA 分析的上限。

下面这张图把资产识别与分类的核心逻辑串起来了。你可以把它当成一个检查清单，做项目时对着走一遍，基本不会漏。

这张图从左到右展示了资产识别与分类的完整链路。你可以在做项目时把它打印出来，对着每个节点逐一确认。

资产识别这件事，做得越细，后面的威胁分析就越轻松。我见过太多项目因为资产清单漏项，导致 TARA 分析返工。嗯，花在资产识别上的时间，永远不会白费。