面向一级供应商
一份基础TARA，每个OEM一份副本。
维护一份平台TARA，为每个OEM客户复制一份。每份副本都会显示基础版本的变更，团队可以逐项决定同步或保留。
产品视频
30秒看产品。
在QuickTARA中录制，使用一个测试动力总成：网关、电机控制器和车载充电机。
- 总览
- 产品与TARA版本
- 架构
- 攻击路径
- 资产
TARA工作流
每条记录都能追溯到架构。
QuickTARA遵循ISO/SAE 21434第15章的步骤。每个威胁、路径和风险都关联到其来源的ECU、接口和资产。
- 01
架构
ECU、网络、接口，以及每个接口提供的服务。
- 02
资产
挂在存放它的ECU上，按机密性、完整性、可用性和真实性评级。
- 03
威胁
只在存在到达资产的路径时才提出。
- 04
攻击路径
穿过架构的每一步，并评定可行性。
- 05
风险处置
风险值、处置决定和关联的控制措施。
攻击路径 AP-014风险 4 · 降低
- 接入点OBD-II诊断接口物理接触：维修站或车主↓ 诊断路由
- ECU中央网关将诊断CAN路由到车身CAN↓ UDS 0x27 SecurityAccess，然后 0x34 RequestDownload
- ECU车身控制模块Bootloader接受重新刷写↓ 写入Flash
- 资产BCM应用固件安全属性：完整性
- 威胁类别
- 篡改
- ATT&CK for ICS
- T0843 Program Download
- 攻击可行性
- 中
- 影响
- 严重
威胁建议来自您的架构，而不是通用清单。
一个ECU给出400条威胁，工程师就不会再信任这个工具。QuickTARA只提出模型中可达的威胁。
- 只有当存在从接入点经由已声明服务到达资产的路径时，才会提出威胁。没有需要逐条删减的通用清单。
- 每条建议都注明威胁类别，以及对应的MITRE ATT&CK for ICS技术。
- 被拒绝的建议会保留拒绝理由。审核员可以看到您排除了什么，以及原因。
量产之后
量产后，TARA仍在持续更新。
审核中最常见的问题，是TARA做完一次就不再更新。QuickTARA把漏洞处理和分析放在同一个工具里，新的CVE会直接出现在它影响的风险旁边。
- 上传SBOM，并勾选每个组件运行在哪个ECU上。
- QuickTARA将组件与OSV、NVD和CISA已知被利用漏洞目录（KEV）进行匹配。
- 每条发现都会显示其ECU周围的资产、威胁、攻击路径和风险。
- 发现本身不会修改TARA。分析员提出变更，经确认后才生效。
ISO/SAE 21434
第8章，持续的网络安全活动
EU CRA
附件I第II部分，漏洞处理
发现 · 远程信息控制单元已提出变更 · 等待确认
CVE-2023-38545libcurl 8.1.2 · SOCKS5堆缓冲区溢出
- 匹配来源
- OSV、NVD
- CISA KEV
- 未列入
- ECU
- TCU-2
关联的TARA记录
- 3
- 资产
- 2
- 威胁
- 1
- 攻击路径
- 2
- 风险
提议： 将AP-022的可行性从低调整为中。由分析员提出，等待确认。
部署方式
在您的网络内部，可完全离线运行。
OEM安全部门和IT规定严格的供应商，无需云服务审查即可批准使用QuickTARA。漏洞数据依然保持最新。
- 无需联网，无需云账号，数据不离开您的网络。
- 漏洞情报以签名数据包的形式导入。每个数据包带有Ed25519签名，包内每个文件在导入前都会校验哈希。
- 您的IT和安全团队只需审查一台服务器，而不是一家SaaS供应商及其分包商。
pack: advisories-2026-10-06signature: ed25519 ✓ verifiedfiles: 412 / 412 sha256 ✓sources: osv, nvd, cisa-kevimport: ready
审核证据
审核员可以逐项查验的工程证据。
型式认证和OEM审核问的是同样的问题：您做了什么决定，谁批准的，之后有没有变过。QuickTARA用记录回答每一个问题，而不是用幻灯片。
锁定发布
发布会冻结TARA，并保存带SHA-256指纹的PDF和JSON输出。您可以准确说明批准了什么、何时批准。
完整审计记录
每次修改都会记录修改人、时间，以及修改前后的值。
职责分离
任何人都不能批准自己的风险决定。这由工具强制执行，不依赖流程文件。
UN R155附件5覆盖
对照附件5威胁清单的覆盖表由您的TARA自动生成，无需手工填写。
一份TARA，三份报告。
每位读者得到所需的详细程度。攻击细节留在公司内部。
- 内部工程报告完整细节，包括攻击路径和可行性评级。
- 客户OEM摘要OEM需要的内容，不暴露攻击细节。
- 审核员评估报告从资产到损害、威胁、风险、目标和控制措施的追溯。
发布 R3 · 制动ECU平台已锁定
| 文件 | SHA-256 |
|---|---|
| tara-internal.pdf | 9f2c41e0…b7a41e |
| tara-customer.pdf | 51d0a9c3…02f6dd |
| tara-audit.pdf | c47e18aa…9e3b10 |
| tara.json | 0be6f2d4…7a55c2 |
由风险经理发布，附审计记录。
适用对象
按供应商的实际工作方式设计。
需要向OEM提供ISO/SAE 21434证据的一级和二级供应商。受CRA约束的充电设备、后台和售后设备制造商。为多个客户做TARA的咨询公司。
面向型式认证范围以外的产品
内置CRA，用于适用的产品。
第14条报告时限、ENISA导出、附件VII技术文档、合格评定步骤和附件II用户信息。适用于充电设备、后台、售后远程信息设备和诊断工具。
检查CRA适用范围 →面向嵌入式工程师
每项控制措施的工程成本。
按控制措施和ECU记录CPU、内存、启动时间和延迟，并与预算对照。超出预算的控制措施会在设计评审之前暴露，而不是在评审会上。
面向管理层
每个产品红、黄、绿状态，并附原因。
管理总览显示每个产品的状态及原因。查看者角色让项目经理和销售可以阅读TARA，但看不到攻击细节。
部署与许可
您的IT和采购团队会问的问题。
- 运行位置
- 您网络内部的一台服务器。无云服务，无需对外连接。
- 漏洞数据
- 来自OSV、NVD和CISA KEV的签名数据包，离线导入。
- 访问控制
- 基于角色的访问。查看者可以阅读TARA，但看不到攻击细节。
- 输出
- PDF和JSON，每次发布都带SHA-256指纹。
- 许可
- 专有软件，按客户协议授权。价格请咨询。
- 评估
- 在您自己的服务器上进行技术评估，提供安装指南和直接支持。