核心术语：理解资产、威胁、风险、攻击路径等关键概念
各位同学，欢迎来到第二章。这一章我们不讲标准条文，而是先统一「语言」。做汽车网络安全，最怕团队里各说各话——你说「风险」，他理解成「漏洞」，最后评审会开成辩论赛。
ISO 21434 里定义了一套核心术语。我个人习惯，在项目启动前，先拉着团队把这些词的定义对齐。别小看这一步，它能省掉后面 80% 的沟通成本。
资产（Asset）——你要保护的东西
资产，说白了就是「你不想被别人搞坏的东西」。在汽车里，它可以是硬件、软件、数据，甚至是某个功能。
举个例子：
- 硬件资产：ECU、传感器、网关、T-Box
- 软件资产：Bootloader、AUTOSAR 基础软件、应用层算法
- 数据资产：车辆 VIN、用户隐私信息、加密密钥、诊断日志
- 功能资产：紧急制动功能、远程解锁功能、OTA 升级流程
威胁（Threat）——谁想搞破坏？怎么搞？
威胁 = 攻击者 + 攻击意图 + 攻击手段。它不是「可能出问题」这种模糊说法，而是具体的场景描述。
ISO 21434 里威胁通常用 STRIDE 模型来分类：
| 威胁类型 | 含义 | 汽车场景举例 |
|---|---|---|
| S（欺骗） | 冒充合法实体 | 伪造 T-Box 身份向云端发送虚假数据 |
| T（篡改） | 修改数据或代码 | 篡改 CAN 总线上的车速信号 |
| R（抵赖） | 否认做过某操作 | 攻击者否认发送过恶意诊断指令 |
| I（信息泄露） | 敏感数据被窃取 | 通过 OBD 接口读取用户通话记录 |
| D（拒绝服务） | 系统不可用 | 向 CAN 总线发送大量高优先级报文，导致刹车信号被延迟 |
| E（权限提升） | 获得更高权限 | 从信息娱乐系统提权到网关，控制动力域 |
嗯，这里要注意：威胁不是风险。威胁是「可能发生的事」，风险是「这件事发生的概率和后果」。别搞混了。
攻击路径（Attack Path）——坏人是怎么摸进来的
攻击路径，就是攻击者从入口到目标资产所经过的一系列步骤。它像一张地图，标出了「哪里能进、哪里能拐、哪里能得手」。
我画了一张图，帮你理解这几个概念的关系：
你看，资产、威胁、脆弱性三者结合，形成一条或多条攻击路径。攻击路径走通了，风险就变成了现实。
风险（Risk）——到底有多严重？
风险 = 攻击发生的可能性 × 攻击造成的危害程度。ISO 21434 要求对每个风险进行评级，通常用 5×5 矩阵：
| 危害程度 | 可能性低 | 可能性中 | 可能性高 |
|---|---|---|---|
| 严重（S3） | 中等风险 | 高风险 | 极高风险 |
| 中等（S2） | 低风险 | 中等风险 | 高风险 |
| 轻微（S1） | 可忽略 | 低风险 | 中等风险 |
你想想看，如果一个攻击能让车辆在高速上突然刹车（危害程度 S3），但攻击者需要物理接触车辆且耗时 2 小时（可能性低），那它还是中等风险。反过来，一个能远程控制雨刮器的漏洞（危害程度 S1），但攻击者只需要发一条短信就能触发（可能性高），那它反而是中等风险。
这就是风险思维——不只看「能不能搞」，还要看「搞了有多疼」。
其他关键术语
除了上面四个核心概念，还有几个术语你一定会遇到：
- 威胁场景（Threat Scenario）：对威胁的详细描述，包括时间、地点、攻击者能力、攻击步骤。比如「攻击者在停车场通过蓝牙向 T-Box 发送恶意固件包，导致远程解锁功能失效」。
- 损害场景（Damage Scenario）：威胁发生后，对人员、车辆、环境造成的实际伤害。比如「车辆无法解锁，车主被困车外，在暴雨中等待救援 3 小时」。
- 安全目标（Security Goal）：为了降低风险，你设定的安全要求。比如「T-Box 必须验证固件包的签名，拒绝未签名或签名无效的固件」。
- 安全概念（Security Concept）：实现安全目标的技术方案。比如「采用 ECDSA 签名算法，公钥存储在 T-Box 的安全硬件模块中」。
一句话总结本章核心：
资产是你要保护的，威胁是可能发生的坏事，脆弱性是资产上的弱点，攻击路径是坏事发生的路线，风险是这件事的严重程度。把这五个词对齐，整个团队才能在一个频道上讨论安全。
好了，这一章就到这里。术语是基础，但也是最容易出分歧的地方。我建议你下次开会时，先花 5 分钟确认大家对「风险」的定义是否一致——相信我，这 5 分钟花得值。