威胁建模的艺术：了解网络安全风险的另一面

可重复性（Reproducibility）：攻击的复杂程度以及攻击者是否能够轻松地重复执行该攻击。高可重复性表明攻击可以轻易地多次实施。

可利用性（Exploitability）：衡量攻击者实施攻击的难易程度，以及攻击是否需要特定的专业知识或技能。较低的可利用性意味着攻击较难实现。

受影响用户（Affected Users）：攻击可能波及的用户数量，若攻击影响广泛的用户群体，则风险程度可能更高。

可发现性（Discoverability）：衡量攻击是否容易被检测到。低可发现性意味着攻击者不易被发现。

4. PASTA流程

攻击模拟和威胁分析流程（PASTA）是一种以风险为中心的威胁分析方法，它在模拟和测试威胁的可行性时，始终与业务流程紧密相连。该方法采用风险导向的方式，根据威胁的可能性和潜在影响来确定威胁的优先级。具体分为以下七个阶段：

- 为风险分析定义目标，这包括对组织的核心任务、服务、产品及其他关键业务方面的认知；

- 定义技术范围，包括系统、网络、应用程序等；

- 分解和分析应用程序，识别关键组件及其相互关系；

- 进行威胁分析，识别系统可能面临的威胁；

- 进行弱点和脆弱性分析；

- 进行攻击建模与模拟；

- 进行风险分析和管理；

5. LINDDUN框架

对于特别关注数据隐私的组织，可以采用更为集中的威胁建模方法。LINDDUN正是这样一个框架，它提供了一个隐私威胁目录，以便调查可能影响隐私的广泛设计问题。

“LINDDUN”是以下隐私威胁类型的首字母缩写，主要包括：

- 关联（Linking）：将数据或操作与个人或群体关联的能力；

- 识别（Identifying）：了解个体的身份；

- 不可抵赖性（Nonrepudiation）：能够将某项主张归因于某个人；

- 侦测（Detecting）：通过观察推断数据主体对系统的参与情况；

- 数据泄露（Data disclosure）：过度收集、存储、处理或共享个人数据；

- 不知情（Unawareness）：在处理个人数据时，未充分告知、涉及或授权个人；

- 不合规（Noncompliance）：偏离安全和数据管理的最佳实践、标准和法规；

6. TRIKE知识库

TRIKE是一种基于知识库的开源建模方法，通过收集、整理和分析威胁情报，构建一个全面的知识库，主要包括威胁漏洞、攻击向量等信息，以帮助组织理解和管理其面临的威胁和风险。该方法侧重于定义可接受的风险水平，并分配风险等级，以确定相关利益方是否可以接受风险，并根据这些等级调整安全工作。

7. 安全决策树

安全决策树（Security decision trees）是一种以攻击者为中心的威胁建模技术，它允许团队使用树形结构来模拟攻击者在攻击的每个阶段可能采取的行动，以及系统可以采取哪些措施来对抗攻击者。这种方法有助于团队理解攻击者的心态和决策过程，以及攻击的投资回报（ROI）。

威胁建模应用实践

尽管威胁建模具有明显优势，但在组织内成功采用威胁建模并非易事。为了最大化威胁建模的效果，组织可以采取以下关键步骤：

首先，必须重视培训和意识提升。这意味着需要投入时间和资源来教育开发团队、安全人员和其他受众，让他们了解威胁建模的重要性以及用于进行威胁建模的各种技术。深刻理解威胁建模在识别和预防安全漏洞中的作用，对于培养团队的安全意识文化至关重要。

其次，要将威胁建模集成到开发生命周期中。通过在软件开发的早期阶段进行威胁建模，组织可以确保安全性考虑是开发过程的基本组成部分，而不是“事后诸葛亮”。在早期阶段嵌入威胁建模有助于识别潜在的安全问题，因为这些问题通常更容易解决，且成本更低。

最后，网络安全的本质要求威胁模型不是静态的。随着网络威胁和软件系统的不断演变，定期审查是不可或缺的。组织应通过定期审查来更新和改进威胁模型，确保它们准确反映当前的威胁环境和系统本身的任何变化，从而保持一个强大、响应迅速的安全状态，以应对不断出现的新挑战。

将这些实践整合到组织的安全策略中并非一次性的任务，而是一个持续的努力过程。随着威胁的演变和系统的日益复杂，威胁建模也必须跟上网络安全的动态特性。如果企业希望将威胁建模应用于所有业务，那么应优先使用自动化工具和大量可用的威胁信息来评估企业安全风险，快速解决所有高风险威胁，同时也不应忽视任何潜在的小威胁。