网络安全决策引擎（高级版）

企业级网络安全策略制定与架构设计的专家级决策引擎，覆盖安全域路由、框架选择、威胁建模、合规评估、架构设计、自动化脚本、渗透测试代码、SIEM规则配置及2026年前沿趋势。

---

一、安全域路由矩阵

1.1 六大安全域定义

| 安全域 | 核心范畴 | 典型威胁 | 核心控制措施 | 涉及法规 | 关键KPI | |--------|----------|----------|--------------|----------|---------| | 网络安全 | 网络边界、传输安全、网络架构 | DDoS攻击、网络钓鱼、中间人攻击、DNS劫持 | 防火墙、入侵检测、网络分段、VPN | 等保2.0 | 阻断率、误报率 | | 应用安全 | Web应用、API、移动应用、桌面软件 | SQL注入、XSS、CSRF、API滥用、0day漏洞 | SDL、WAF、RASP、代码审计 | 等保2.0、PCI-DSS | 漏洞密度、MTTR | | 数据安全 | 数据存储、传输、销毁、隐私 | 数据泄露、数据篡改、数据勒索、隐私侵犯 | 加密、分类分级、访问控制、数据脱敏 | GDPR、个保法、数安法 | 泄露事件数 | | 身份安全 | 身份认证、授权管理、账号生命周期 | 身份冒用、凭证盗取、权限滥用、撞库攻击 | IAM、MFA、PAM、零信任身份验证 | 等保2.0 | 认证失败率 | | 云安全 | 云架构、多租户、云原生安全 | 云配置错误、横向移动、无服务器攻击、API暴露 | CSPM、CWPP、CASB、云安全态势管理 | 等保2.0、云安全责任共担模型 | 合规通过率 | | 终端安全 | PC、移动设备、IoT、OT设备 | 恶意软件、勒索软件、挖矿、固件漏洞 | EDR、防病毒、MDM、终端检测响应 | 等保2.0 | 感染率、检测率 |

1.2 安全域路由决策树

用户需求输入
    │
    ├─ 是否涉及合规/法规要求？
    │       ├─ YES → 合规驱动路由
    │       │       ├─ 中国业务 → 等保2.0 + 数据安全法 + 个保法
    │       │       ├─ 欧盟业务 → GDPR + NIS2
    │       │       ├─ 美国业务 → CCPA + SOX
    │       │       └─ 多地区 → 最高标准合规
    │       └─ NO → 业务驱动路由
    │
    ├─ 核心关注点是什么？
    │       ├─ 网络边界/流量 → 网络安全域
    │       ├─ 应用漏洞/代码 → 应用安全域
    │       ├─ 数据保护/隐私 → 数据安全域
    │       ├─ 账号权限/访问 → 身份安全域
    │       ├─ 云资源/配置 → 云安全域
    │       └─ 设备防护/终端 → 终端安全域
    │
    └─ 是否有跨域复合需求？
            ├─ SOC建设 → 融合网络安全+数据安全+SIEM
            ├─ 安全运营 → 融合身份安全+终端安全+SOAR
            └─ 数据治理 → 融合数据安全+云安全+隐私计算

---

二、安全框架选择决策

2.1 主流安全框架对比

| 框架 | 起源 | 适用场景 | 核心要素 | 适用企业类型 | 认证周期 | 维护成本 | |------|------|----------|----------|--------------|----------|----------| | NIST CSF 2.0 | 美国 | 通用风险管理 | 六大核心功能 | 所有行业，尤其美国业务企业 | 3-6个月 | 中 | | ISO 27001:2022 | 国际 | 管理体系认证 | 93项控制措施，4大主题 | 追求国际认证、出口业务 | 6-12个月 | 高 | | 零信任架构(ZTA) | 美国NIST | 现代化安全架构 | 永不信任、始终验证、最小权限 | 云原生、远程办公、零散架构 | 6-18个月 | 高 | | 等保2.0 | 中国 | 国内合规 | 等级保护制度（1-5级） | 中国境内所有企业 | 2-6个月 | 中 | | CIS Controls | 美国 | 快速基线 | 18项关键控制 | 中小企业、快速建设 | 1-3个月 | 低 | | SOC 2 | 美国 | 服务商审计 | Trust Services Criteria | SaaS服务商、科技公司 | 3-6个月 | 中 |

2.2 框架选择决策矩阵

| 企业特征 | 推荐框架组合 | 实施优先级 | 预期周期 | |----------|--------------|------------|----------| | 中国企业+国内业务 | 等保2.0 为主 + NIST CSF 参考 | P0 | 3-6个月 | | 跨国企业+欧美业务 | ISO 27001 + NIST CSF 双轨 | P0 | 6-12个月 | | 云原生+现代化架构 | 零信任 为核心 + CIS Controls | P1 | 6-18个月 | | 金融/医疗/关基行业 | 等保2.0 + ISO 27001 + 行业补充标准 | P0 | 12-18个月 | | 中小企业快速建设 | CIS Controls v8 18项关键控制 | P1 | 1-3个月 | | 需要对美出口/上市 | NIST CSF + SOX合规要求 | P0 | 3-6个月 | | SaaS服务商 | SOC 2 + ISO 27001 | P0 | 6-9个月 |

2.3 等保2.0等级划分

| 等级 | 适用系统 | 监管级别 | 核心要求 | 测评周期 | 技术控制点数 | |------|----------|----------|----------|----------|--------------| | 第一级 | 通用系统 | 企业自管 | 基础防护 | 自行测评 | ~30项 | | 第二级 | 重要业务系统 | 公安机关备案 | 审计、备份、边界防护 | 2年 | ~70项 | | 第三级 | 重要行业系统 | 公安机关监管 | 动态防御、可信验证、入侵防范 | 1年 | ~230项 | | 第四级 | 极端重要系统 | 公安机关强制监管 | 强制访问控制、应急响应、安全管理中心 | 半年 | ~290项 | | 第五级 | 国防/关键基础设施 | 国家强力部门监管 | 最高等级防护 | 持续 | 定制化 |

---

三、威胁建模方法论

3.1 STRIDE威胁模型

微软开发的对立威胁分类模型，覆盖6大类威胁：

| 威胁类型 | 威胁定义 | 对抗措施 | 典型攻击 | 检测指标 | |----------|----------|----------|----------|----------| | Spoofing 欺骗 | 冒充他人身份 | 强身份认证、MFA、数字证书 | 账号冒用、会话劫持 | 异常登录地理分布 | | Tampering 篡改 | 修改数据或代码 | 完整性校验、数字签名、版本控制 | 供应链投毒、中间人篡改 | 文件哈希变更告警 | | Repudiation 抵赖 | 否认已执行操作 | 日志审计、数字签名、不可否认性 | 否认发送邮件、否认交易 | 操作日志完整性 | | Information Disclosure 信息泄露 | 暴露机密信息 | 加密、访问控制、数据分类 | 数据泄露、API泄密 | DLP告警、数据出口流量 | | Denial of Service 拒绝服务 | 致服务不可用 | DDoS防护、负载均衡、冗余设计 | DDoS、资源耗尽 | 服务可用性、响应时间 | | Elevation of Privilege 权限提升 | 获取未授权权限 | 最小权限原则、角色分离、输入验证 | 缓冲区溢出、SQL注入 | 权限变更告警 |

3.2 DREAD风险评估模型

量化威胁风险等级（满分10-20分）：

| 维度 | 评分标准（1-3分） | 高风险阈值 | 计算权重 | |------|-------------------|------------|----------| | Damage 危害程度 | 1=轻微，2=一般，3=严重 | ≥2 | 30% | | Reproducibility 可复现性 | 1=复杂，2=偶尔，3=容易 | ≥2 | 20% | | Exploitability 可利用性 | 1=需要高级技能，2=需要中技能，3=容易利用 | ≥2 | 20% | | Affected Users 影响范围 | 1=少量，2=部分，3=全部 | ≥2 | 20% | | Discoverability 可发现性 | 1=困难，2=一般，3=容易 | ≥2 | 10% |

风险等级划分：

• 高风险(15-20分)：立即修复
• 中风险(10-14分)：计划修复
• 低风险(5-9分)：可接受风险

3.3 攻击树建模示例

"""
攻击树建模工具
功能：构建、可视化、分析攻击路径
"""

from dataclasses import dataclass, field
from typing import List, Optional, Dict
from enum import Enum

class NodeType(Enum):
    """节点类型"""
    ROOT = "root"           # 根节点（攻击目标）
    OR = "or"              # OR节点（任一路径达成即成功）
    AND = "and"             # AND节点（所有路径同时达成）
    LEAF = "leaf"           # 叶节点（具体攻击手段）

@dataclass
class AttackNode:
    """攻击树节点"""
    id: str
    name: str
    node_type: NodeType
    description: str = ""
    children: List['AttackNode'] = field(default_factory=list)
    properties: Dict = field(default_factory=dict)
    
    def add_child(self, child: 'AttackNode'):
        """添加子节点"""
        self.children.append(child)
    
    def calculate_cost(self, leaf_costs: Dict[str, float]) -> float:
        """计算攻击成本"""
        if self.node_type == NodeType.LEAF:
            return leaf_costs.get(self.id, 1