網(wǎng)絡安全的本質(zhì)是攻防雙方的對抗與博弈。然而，由于多種攻防之間的不對稱性因素存在，使得攻擊者總能在對抗過程中搶占先機。為了更好地了解潛在的威脅和缺陷，實現(xiàn)主動式防御，企業(yè)需要重新考慮他們的網(wǎng)絡防護方法，而威脅建模（Threat modeling）正是網(wǎng)絡安全武器庫中關鍵防御武器。

威脅建模的必要性

威脅建模是指識別并評估如何管理應用系統(tǒng)中安全弱點的過程，可以幫助企業(yè)更快速地發(fā)現(xiàn)信息化系統(tǒng)應用過程中的安全隱患，更清楚地了解安全建設需求，從而更有效地建立安全防御體系。

顧名思義，威脅建模會產(chǎn)生一個或多個模型。OWASP將威脅模型定義為：“影響應用程序安全性的所有信息的結構化表示。從本質(zhì)上講，它是從風險防御的視角來評估應用程序及其環(huán)境的安全性?！蓖ㄟ^威脅建模的實踐，可以為組織的而網(wǎng)絡安全決策提供更全面的信息，并幫助構建和支持網(wǎng)絡威脅情報（CTI）。

組織可以將威脅建模廣泛地應用于軟件應用程序、網(wǎng)絡系統(tǒng)、分布式系統(tǒng)、物聯(lián)網(wǎng)設備和數(shù)字化業(yè)務流程。概括來說，使用威脅建?？梢越o企業(yè)組織如下好處：

?明確組織的安全需求。傳統(tǒng)的最佳實踐和頂級威脅列表只是網(wǎng)絡安全工作的指導方針，它們不能考慮到組織的具體情況。而威脅建?？梢愿嬖V組織應該優(yōu)先考慮什么以及在哪里投入資源。

?更快的反饋，更低的成本。遵循“安全左移”的防護理念，威脅建?？梢栽趹孟到y(tǒng)開發(fā)過程的早期發(fā)現(xiàn)問題，甚至在漏洞萌芽之前消除它們，從而大大降低修復成本。

?更優(yōu)質(zhì)的產(chǎn)品+增強的信心。許多數(shù)據(jù)泄露事件凸顯了安全團隊對安全的忽視。威脅建模使您的缺陷直觀可見，因此您可以制定創(chuàng)新計劃并實際量化威脅。

正如安全技術專家Adam Shostack所認為的：“威脅建模是實現(xiàn)網(wǎng)絡安全集中化防御的關鍵。如果沒有威脅建模，企業(yè)的網(wǎng)絡安全工作就是無休止的打地鼠游戲?！?

威脅建模的過程

從廣義上講，威脅建模涉及從日常的安全工作中退一步，以了解企業(yè)的系統(tǒng)、評估網(wǎng)絡和數(shù)字資源、識別威脅環(huán)境中的漏洞并優(yōu)先考慮涵蓋保護、響應、補救和恢復的計劃。威脅建模團隊的核心成員主要由安全專業(yè)人員和架構師組成。在更廣泛的情況下，組織可以將各種利益相關者聚集在一起，包括應用程序所有者、技術支持人員、管理員等。

這些團隊有許多明確定義的框架需要遵循，例如STRIDE，它是1999年由Microsoft開發(fā)的。STRIDE中的威脅建模會議通常以類似于白板會議的方式開始，安全專家和利益相關者在會上討論風險因素，并集思廣益怎么辦。然而，這種方式目前必須要改變。

傳統(tǒng)的威脅建模方法在當前的計算和威脅環(huán)境中，它們的擴展性和實際應用效果都不夠好。特別隨著越來越多的業(yè)務運營轉(zhuǎn)向數(shù)字化，解決組織的所有高優(yōu)先級威脅變得非常耗時，導致太多漏洞未得到解決。如何簡化這個過程？組織或許應該反向進行改變，從另一端（攻擊端）開始威脅建模過程。組織可以掃描現(xiàn)有系統(tǒng)，整合有關當前和可能威脅的數(shù)據(jù)，而不是從白板和人聲鼎沸的會議開始，安全團隊需要像黑客一樣思考，試圖識別潛在威脅。

在實際應用中，威脅建模過程一般遵循以下步驟：

?設定風險分析目標，確定需要保護的內(nèi)容；

?創(chuàng)建安全風險架構概況，繪制系統(tǒng)或應用程序架構圖；

?利用可視化技術來識別系統(tǒng)面臨的網(wǎng)絡安全威脅；

?評估威脅的優(yōu)先級，并針對重點網(wǎng)絡安全威脅優(yōu)先提出緩解措施；

?驗證所識別的威脅是否已被實際緩解。

威脅建?？蚣芗胺椒?/span>

威脅建模的方法有多種，每種方法均有其獨特的特點和架構，可指導安全專家識別和減輕相應的潛在威脅。這些威脅建模方法所提供的框架概括了如何應對復雜的威脅分析任務，能夠幫助組織對安全風險進行全方位、系統(tǒng)的審查。

1 NIST威脅模型框架

NIST威脅模型是由美國國家標準與技術研究院（NIST）開發(fā)的一種威脅建?？蚣?。它主要基于NIST發(fā)布的SP 800-30《風險管理指南》中的威脅建模指南。NIST威脅建?？蚣馨ㄒ韵玛P鍵步驟：

?建立上下文規(guī)則：定義組織的上下文，包括業(yè)務目標、關鍵資產(chǎn)和相關利益相關者。

?威脅識別：分析系統(tǒng)，識別可能的威脅，包括自然災害、人為活動和技術故障等。

?威脅評估：對識別的威脅進行評估，包括威脅的概率、影響和風險。

?制定風險緩解策略：根據(jù)評估的風險水平，制定適當?shù)娘L險緩解策略，包括接受、轉(zhuǎn)移、降低或避免。

?監(jiān)控和更新：持續(xù)監(jiān)控威脅環(huán)境，根據(jù)變化的情況更新風險管理策略。

2 STRIDE Model框架

STRIDE是威脅建模理念的最早實踐者，也是最流行的威脅建?？蚣苤?，由微軟安全研究人員于1999年創(chuàng)建。它能夠從攻擊者的角度出發(fā)，將威脅分為以下6個類別：

?欺騙（Spooling）：攻擊者試圖冒充與系統(tǒng)某些部分交互的實體（例如，用戶、服務）。

?篡改（Tampering）：攻擊者試圖修改數(shù)據(jù)以操縱某些結果。

?抵賴（Repudiation）：攻擊者否認其操作或交易，使其難以追蹤或追究責任。

?信息泄露（Information Disclosure）：攻擊者可能獲取系統(tǒng)中的敏感信息，如用戶憑據(jù)、業(yè)務數(shù)據(jù)等。

?拒絕服務（DoS）：限制或阻止對系統(tǒng)的正常訪問。

?特權提升（Elevation of privilege）：攻擊者試圖獲取比其正常權限更高的權限級別，從而可能導致未經(jīng)授權的訪問和操作系統(tǒng)的敏感功能。

3 DREAD框架

DREAD是一種用于評估和量化安全風險的威脅建?？蚣?，它考慮了以下五個關鍵方面：

?損害（Damage）：攻擊成功發(fā)生后可能對系統(tǒng)造成的實際損害程度，包括數(shù)據(jù)泄露、服務中斷、財務損失等。

?可重復性（Reproducibility）：攻擊的復雜度以及攻擊者是否能夠輕松地重復該攻擊。高可重復性意味著攻擊很容易被多次執(zhí)行。

?可利用性（Exploitability）：衡量攻擊者實施攻擊的難度，以及攻擊是否需要先前的專業(yè)知識或技能。較低的可利用性表示攻擊相對難以實現(xiàn)。

?受影響用戶（Affected Users）：攻擊可能影響的用戶數(shù)量，如果攻擊影響廣泛的用戶群體，風險程度可能會更高。

?可發(fā)現(xiàn)性（Discoverability）：衡量攻擊是否容易被檢測或發(fā)現(xiàn)。低可發(fā)現(xiàn)性表示攻擊者不易被發(fā)現(xiàn)。

4 PASTA流程

攻擊模擬和威脅分析流程（PASTA）是一種以風險為中心的威脅分析方法，在模擬和測試威脅的可行性時始終與業(yè)務流程聯(lián)系在一起。它采用以風險為中心的方法，根據(jù)威脅的可能性和潛在影響確定威脅的優(yōu)先級。具體分為以下七個階段：

?為風險分析定義目標。這包括對組織核心任務、服務、產(chǎn)品及其他關鍵業(yè)務方面的認知；

?定義技術范圍，包括系統(tǒng)、網(wǎng)絡、應用程序等；

?分解和分析應用程序，識別關鍵組件及其相互關系；

?威脅分析，識別系統(tǒng)可能面臨的威脅；

?弱點和脆弱性分析；

?攻擊建模與模擬；

?風險分析和管理；

5 LINDDUN框架

對于主要擔心數(shù)據(jù)隱私的組織，可以采用更集中的威脅建模方法。LINDDUN就是這樣一個框架，它提供了一個隱私威脅的目錄，以便對可能影響隱私的廣泛設計問題進行調(diào)查。

“LINDDUN”是以下隱私威脅類型的首字母縮略詞，主要包括：

?關聯(lián)（Linking）：將數(shù)據(jù)或操作關聯(lián)到個人或組的能力。

?識別（Identifying）：了解個體的身份。

?不可抵賴性（Nonrepudiation）：能夠?qū)⒛稠椫鲝垰w于某個人。

?偵測（Detecting）：通過觀察推斷數(shù)據(jù)主體對系統(tǒng)的參與情況。

?數(shù)據(jù)泄露（Data disclosure）：過度收集、存儲、處理或共享個人數(shù)據(jù)。

?不知情（Unawareness）：在處理個人數(shù)據(jù)時，沒有充分告知、涉及或授權個人。

?不合規(guī)（Noncompliance）：偏離安全和數(shù)據(jù)管理最佳實踐、標準和法規(guī)。

6 TRIKE知識庫

TRIKE是一種基于知識庫的開源建模方法，通過收集、整理和分析威脅情報，構建一個全面的知識庫，主要包括威脅漏洞、攻擊向量等信息，來幫助組織理解和管理其面臨的威脅和風險。該方法側重于定義可接受的風險水平，同時分配風險等級，以確定制定的利益相關方是否可以接受風險，并根據(jù)這些等級調(diào)整安全工作。

7 安全決策樹

安全決策樹（Security decision trees）是一種以攻擊者為中心的威脅建模技術，它允許團隊使用樹形結構對攻擊如何展開進行建模。攻擊場景模擬攻擊者在攻擊的每個階段可能采取的行動，以及系統(tǒng)可以做些什么來對抗攻擊者。這種方法可以幫助團隊理解攻擊者的心態(tài)和決策過程，以及攻擊的投資回報（ROI）。

威脅建模應用實踐

雖然威脅建模優(yōu)勢明顯，但想要在組織內(nèi)成功采用威脅建模卻并不容易。為了最大程度地發(fā)揮威脅建模的作用，組織可以采取以下一些關鍵步驟：

首先，必須把重點放在培訓和意識上。這意味著要投入時間和資源來教育開發(fā)團隊、安全人員和其他受眾，讓他們了解威脅建模的重要性以及用于進行威脅建模的各種技術。徹底理解威脅建模在識別和預防安全漏洞中的作用，對于在團隊中培養(yǎng)具有安全意識的文化至關重要。

其次，要將威脅建模集成到開發(fā)生命周期中。通過在軟件開發(fā)的早期階段威脅建模，組織可以確保安全性考慮不是“事后考慮事項”，而是開發(fā)過程的基本組成部分。在早期嵌入威脅建模有助于識別潛在的安全問題，因為這些問題通常更容易解決，而且成本更低。

最后，網(wǎng)絡安全的本質(zhì)要求威脅模型并非靜態(tài)的。隨著網(wǎng)絡威脅和軟件系統(tǒng)的不斷發(fā)展，定期審查是必不可少的。組織應該通過定期審查來更新和改進威脅模型，確保它們準確地反映當前的威脅環(huán)境和系統(tǒng)本身的任何變化，從而保持一個強大的、響應性強的安全狀態(tài)，以適應不斷涌現(xiàn)的新挑戰(zhàn)。

將這些實踐整合到組織的安全策略中并非一次性的任務，而是一個持續(xù)努力的過程。隨著威脅的演變以及系統(tǒng)的日益復雜，威脅建模也必須跟上網(wǎng)絡安全的動態(tài)特性。如果企業(yè)想將威脅建模涵蓋自身的所有業(yè)務，那么就應該通過優(yōu)先使用自動化工具和大量可用威脅信息評估企業(yè)安全風險的方式，更快地解決所有高風險威脅，同時也不要忽視任何細小威脅。