等保合规威胁建模：把监管要求翻译成架构层面的控制点

一、条款很抽象，架构很具体：等保落地的断层

等保（网络安全等级保护）的条款，写的是"应采取""应实现""应审计"这样的原则性要求。落到工程里，却要变成具体的组件、配置、日志与接口。这个从"文字"到"架构"的翻译，是绝大多数单位最薄弱的一环。

常见现象是：文档写满了控制措施，机房也挂了等保牌，但真去核对，发现"身份鉴别"只做了一半——登录有密码，却没有定期改密与失败锁定；"安全审计"有日志，却没有集中存储与防篡改。纸面合规与实质合规之间，隔着一条执行断层。

更隐蔽的问题是控制点错配。条款要求"边界防护"，有人只在出口放个防火墙就交差，却忽略了内部的横向移动。等保看的是纵深，不是单点。一个控制项没覆盖到对应攻击面，形式上满足了，实质上仍是缺口。

还有一类是"为过检而堆设备"。采购一堆盒子，彼此不联动，告警各看各的。等保终验收的是能力完整回路，不是设备清单。没有把控制点串成可验证的链条，复测时一戳就破。

因此，等保合规的关键动作，是"威胁建模"：先把系统面临什么威胁想清楚，再把每一条监管要求映射到具体的架构控制点。让条款不再是一纸空文，而是可测试、可验证的工程事实。

一个典型误读是"等保是文档工作"。实际上文档只是载体，真正要的是控制点的技术实现与持续运行证据。把精力全花在写材料上，反而离合规更远。

二、STRIDE 威胁建模与等保控制项映射模型

把威胁建模的 STRIDE 六类，与等保控制项对齐，能直观看到每项要求该落到哪。

每个 STRIDE 威胁，对应一类等保要求，再落到具体架构组件。这样条款不再是抽象词，而是可部署、可验证的控制点清单。

三、控制点合规校验编排实现

下面是一段校验脚本。它把架构事实与等保要求比对，自动标出缺口，含并发与超时：

import asyncio from dataclasses import dataclass # 等保控制项与期望的架构事实（生产来自配置采集） CONTROL_ITEMS = { "身份鉴别": {"expect": "mfa_enabled", "probe": "auth_service"}, "安全审计": {"expect": "central_log", "probe": "log_pipeline"}, "数据保密": {"expect": "field_encrypted", "probe": "db_config"}, "访问控制": {"expect": "rbac_enforced", "probe": "gateway"}, } @dataclass class ControlPoint: name: str expect: str probe: str async def _probe_fact(cp: ControlPoint, timeout: float = 1.0) -> dict: # 探测架构真实状态，带超时，超时按"未确认"记缺口 try: fact = await asyncio.wait_for( _do_probe(cp.probe), timeout=timeout ) return {"name": cp.name, "fact": fact, "ok": fact == cp.expect} except asyncio.TimeoutError: return {"name": cp.name, "fact": "timeout", "ok": False} async def _do_probe(probe: str) -> str: # 占位：真实采集（查配置/接口/策略） await asyncio.sleep(0) return "unknown" async def audit_controls(timeout: float = 1.0) -> list[dict]: points = [ControlPoint(n, v["expect"], v["probe"]) for n, v in CONTROL_ITEMS.items()] # 并发探测所有控制点，单点失败不影响整体核验 results = await asyncio.gather(*[ _probe_fact(p, timeout) for p in points ]) return results # 使用示例 async def demo(): out = await audit_controls() gaps = [r for r in out if not r["ok"]] print(f"缺口数: {len(gaps)}") print(gaps)

要点：每个控制项独立探测，单点超时或失败不影响其他项核验；结果明确标出"期望事实"与"实际事实"的偏差，缺口一目了然；并发执行让大系统的全量核验可在限期内完成。这样等保从"写材料"变成"跑校验"，每次复测都有技术证据。

四、边界与局限：形式合规、工具盲区与持续运行

威胁建模映射到架构，仍有几处要清醒。

形式合规的陷阱。把"有设备"当"有能力"，是最常见偏差。防火墙开着却策略全通，日志开着却无人看，都是形式。校验脚本应探测"策略是否生效"，而非"组件是否存在"。控制点的有效性与存在性，必须分开验证。

工具覆盖不到隐性威胁。STRIDE 之外，还有业务逻辑缺陷、流程漏洞、人员社工。这些靠配置采集查不出，必须结合人工红队与流程审计。自动校验解决"技术控制点"，解决不了"组织与流程控制点"。

持续运行才是真合规。等保不是拿证就结束，控制点会随系统演进退化：密钥忘轮换、日志满停写、策略被误改。校验要常态化运行，而非一年一次迎检。把审计脚本接进持续集成与监控，才能维持实质合规水位。

还有一点：映射要随业务更新。系统新增一个对外接口，若没同步做威胁建模，就出现控制真空。等保的"变更管理"要求，本质就是让每次架构变更都重新走一遍映射。把建模做成变更的前置门禁，比事后补材料可靠得多。

五、总结

等保合规的核心，是把抽象监管要求翻译成可验证的架构控制点。用 STRIDE 把威胁分类，再逐项映射到身份、审计、保密、访问等具体组件，条款才从纸面落到工程。技术上用并发探测与超时降级做常态化校验；认知上要区分"组件存在"与"能力生效"，并覆盖工具看不见的流程与人因。让合规成为持续运行的能力，而非一次性的材料。