01 · 漏洞协同披露体系
1.1 中国法规框架
- 《网络安全法》（2017年6月施行）：确立网络产品、服务提供者的安全义务，要求发现其网络产品、服务存在安全缺陷、漏洞时，立即采取补救措施，按照规定及时告知用户并向有关主管部门报告——这是我国漏洞协同披露的上位法依据。
- 《网络产品安全漏洞管理规定》（工信部、国家网信办、公安部联合发布，2021年9月1日施行）：明确网络产品提供者的漏洞报送义务（发现漏洞后规定时限内通过工信部网络安全威胁和漏洞信息共享平台报送）、修补义务与信息发布规范；同时明确任何组织或个人不得利用漏洞从事危害网络安全的活动，不得非法收集、出售、发布漏洞信息——为研究者划定了合法边界。
- 漏洞库体系：CNVD（国家信息安全漏洞共享平台，CNCERT于2009年发起运营）与CNNVD（中国国家信息安全漏洞库，中国信息安全测评中心运营）构成国内漏洞收录的双核心；厂商、研究机构按规范提交可获得编号与协同验证。
- 《关键信息基础设施安全保护条例》（2021年9月1日施行）：第三十一条明确，未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等活动——固件安全研究的授权前提在关基场景下尤为重要。
1.2 国际规范对照
| 规范/机制 | 发布方/年份 | 要点 |
|---|---|---|
| ISO/IEC 29147 | ISO/IEC，2018（修订2021） | 漏洞披露规范：披露渠道、时间线、多方角色（发现者/接收者/协调者）职责 |
| ISO/IEC 30111 | ISO/IEC，2021 | 漏洞处理过程：确认、评估、修复、发布、复盘全周期管理 |
| CISA KEV目录 | 美国CISA，2021年11月上线 | "已知被利用漏洞"目录，联邦机构须限期修复；业界广泛用作修复优先级最高标尺 |
| FIRST EPSS | FIRST，2022年正式运行 | 漏洞利用预测评分（概率0—1），与CVSS互补用于修补优先级排序 |
| CVSS v4.0 | FIRST，2023年11月发布 | 漏洞严重度评分现行版本，新增补充指标（如安全要求、供应商紧迫度） |
1.3 本课题披露流程（研究者视角）
确认→最小复现→厂商渠道→监管渠道→协同验证→修复验证→归档。时限约定：首次联系后给予厂商合理修复窗口（参考国际惯例与个案严重度协商，高危漏洞从严）；拒不响应或无法联系时，按《网络产品安全漏洞管理规定》向CNVD等渠道提交；全程保留沟通证据链。任何阶段不公开可直接复用的攻击载荷。
02 · 厂商侧安全工程要求
- PSIRT建设：设立产品安全事件响应团队，公开安全联系邮箱与PGP密钥；漏洞响应SLA（确认、初步评估、修复计划节点）对外承诺并履约。
- 安全更新支持期：对产品安全支持期限做出公开承诺（业界通行做法为自停产后若干年），EOL前至少一次安全更新；EOL设备提供隔离或替换指引。
- SBOM（软件物料清单）：按SPDX或CycloneDX格式随固件发布组件清单；美国2021年5月第14028号行政令已将SBOM列为联邦软件采购要求，欧盟CRA亦将其义务化——SBOM是Ripple20类事件发生时快速确认受影响面的前提（对应KQ-3）。
- 更新通道安全：OTA包签名（Ed25519/RSA-PSS）+防回滚；升级服务器证书固定；A/B原子更新失败可回退。
- 上游组件治理：建立组件准入评估与CVE情报订阅机制；对SDK/协议栈供应商提出安全基线要求并纳入合同条款。
03 · 国内外合规标准矩阵
| 标准/法规 | 发布/生效 | 核心要求（与本课题相关部分） |
|---|---|---|
| ETSI EN 303 645 | 2020年6月发布 | 消费级IoT安全基线13条规定：无通用默认口令、漏洞披露渠道、透明更新机制、安全存储凭据等，是全球引用最广的消费IoT基线 |
| 英国PSTI法案 | 2024年4月通过，2025年4月29日生效 | 法定化执行EN 303 645核心条款：明文禁止通用默认口令、要求漏洞披露渠道与安全支持期声明，违者承担法律责任——"默认安全"首次进入国家法律强制层 |
| 美国FCC Cyber Trust Mark | 规则2024年3月通过，2025年启动 | 消费IoT自愿性安全标签制度，要求符合NIST IR 8425基线，由UL Solutions等授权机构测评贴标，以市场牵引替代强制 |
| 欧盟《网络弹性法案》（CRA） | 2024年12月10日生效，主要义务2027年12月起适用 | 含数字元素产品的强制性网络安全要求：设计阶段消除漏洞、SBOM、五年（或预期生命周期）安全更新、事件报告义务；违规罚款可达全球营业额的一定比例 |
| 新加坡CLS标签 | 2020年10月启动 | 网络安全分级标签（一至四星），消费IoT自愿认证的市场牵引实践 |
| 中国标准体系 | 2017—2021 | GB 35114—2017（公共安全视频监控联网信息安全，摄像头强制）；GB/T 37044—2018（物联网安全参考模型及通用要求）；GB/T 37024—2018（物联网感知层网关安全技术要求）；工信部《物联网基础安全标准体系建设指南（2021版）》规划设备、网络、平台、数据四类基础安全标准；上位依据为《关键信息基础设施安全保护条例》（2021年9月施行） |
| NIST IR 8228 | 2019年5月 | IoT网络安全与隐私风险管理指南：设备-网络-数据三视角风险矩阵，企业采购与部署IoT设备的参考框架 |
合规矩阵用途：本表是测评机构与厂商合规差距分析（gap analysis）的对照底稿；条目效力层级（强制/自愿）、生效日期与罚则以官方文本为准，实施前须核对最新修订版本。
04 · 需求侧牵引机制
- 《Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software》（2022年10月）：美国NSA/CISA联合FBI及多国机构发布，提出软件制造商应承担更多安全责任的原则声明。
- 《Secure by Demand Guide》（CISA与FBI，2023年9月）：面向采购方的实操指南：在招标与合同中提出"默认安全"问题清单（是否无默认口令、是否提供安全更新承诺、是否有漏洞披露渠道等），以采购杠杆倒逼厂商。
- 对安全团队的落地动作：将第2—6页方法论转化为采购核查问卷与到货抽检基线；对新采购IoT设备执行固件静态核查+默认配置审计，合同中加入安全支持期与漏洞响应SLA条款。
05 · 治理度量指标体系
- 分析侧度量：仿真成功率（按失败归因分类，对应KQ-1）、静态规则命中-确认转化率（对应KQ-2）、批次分析吞吐（固件/人日）。
- 情报侧度量：组件-CVE关联命中率、KEV收录设备型号占比、供应链情报订阅覆盖率。
06 · 研究伦理与法律边界（重申）
七条红线：①未经授权不测试他人设备与网络；②不采集、不出售、不发布漏洞利用细节与在野未修复目标信息；③固件分析中接触的用户数据脱敏、封存、限期销毁；④跨境传输漏洞与设备数据遵守《数据出境安全评估办法》（2022年9月施行）等数据出境规定；⑤漏洞发布前给予厂商合理修复窗口并保留沟通证据；⑥学术发表遵循负责任披露（responsible disclosure）并经课题合规审查；⑦硬件分析（拆机/芯片读取/故障注入）仅限自有或书面授权设备，且不得规避执法监管的技术保护措施。
07 · 实施路线与交付物汇总
7.1 三阶段实施路线
| 阶段 | 目标 | 关键动作 |
|---|---|---|
| 第一阶段：能力建设 | 跑通全流程工具链 | 部署解包/仿真/分析环境（第2—4页）；以IoTGoat与历史固件库校准规则库；建立成功率台账 |
| 第二阶段：规模化分析 | 批次核查与漏洞产出 | 主流品类固件批次扫描（摄像头/路由器/NAS）；模糊测试用例库迭代；案例档案库建设（第5、7页） |
| 第三阶段：治理闭环 | 披露协同与合规落地 | CNVD/厂商PSIRT协同流程常态化；合规差距分析（第8页合规矩阵）；向子课题02—06输出规则库与情报 |
7.2 交付物清单（全八页汇总）
- 《固件获取与解包工具链规范》（第2页）·《固件静态分析规则库v1.0》（第3页）·《固件仿真与动态验证基线》（第4页）·《IoT模糊测试用例库》（第5页）·《硬件接口安全测试指引》（第6页）·《IoT固件漏洞案例档案库》（第7页）·《漏洞协同披露与合规实施路线图》（第8页）。
- 共享输出：默认口令与硬编码模式库（→子课题06蜜罐）、组件-CVE关联库（→子课题02/03测评）、供应链情报摘要（→子课题04/05）。
本节参考来源（第8页）
以下均为真实可查的权威来源（学术论文、标准组织、监管机构、官方项目仓库与漏洞库），用于支撑本页事实性表述；涉统计数字均标注原始出处。
《网络安全法》（2017年6月1日施行）；《网络产品安全漏洞管理规定》（工信部、国家网信办、公安部，2021年9月1日施行）：miit.gov.cn；《关键信息基础设施安全保护条例》（2021年9月1日施行）：gov.cn。
CNVD国家信息安全漏洞共享平台（CNCERT运营）：cnvd.org.cn；ISO/IEC 29147与30111以ISO官网为准：iso.org。
CISA Known Exploited Vulnerabilities Catalog：cisa.gov/known-exploited-vulnerabilities-catalog；FIRST EPSS：first.org/epss；CVSS v4.0规范：first.org/cvss/v4-0。
ETSI EN 303 645：etsi.org/standards；英国PSTI法案指南：gov.uk；美国FCC Cyber Trust Mark：fcc.gov/cybertrustmark；欧盟Cyber Resilience Act：digital-strategy.ec.europa.eu（CRA）。
NIST IR 8228（2019年5月）：csrc.nist.gov/pubs/ir/8228/final；CISA/FBI《Secure by Demand Guide》（2023年9月）与多机构《Shifting the Balance of Cybersecurity Risk》（2022年10月）：cisa.gov。
美国第14028号行政令（2021年5月，含SBOM要求）以Federal Register为准：federalregister.gov；SPDX：spdx.dev；CycloneDX：cyclonedx.org。