14、威胁建模与风险评估流程

威胁建模与风险评估流程

在当今数字化时代，软件系统的安全性至关重要。威胁建模和风险评估是保障系统安全的重要手段，下面将详细介绍相关流程及可能遇到的陷阱。

文档记录

• 外部安全说明文档 ：外部安全依赖是被建模系统所依赖的项目，而外部安全说明则是被建模系统代表其自身用户或其他系统记录的信息，包括集成和使用/API 信息。这些说明可用于集成或交叉引用不同系统的威胁模型，也可在适当的时候备份开发人员或用户的笔记。以下是一些外部安全说明的示例：
  | ID | 描述 |
  | — | — |
  | 1 | Web 服务仅强制要求密码长度大于 8 个字符，但用户必须选择难以通过暴力破解猜出或发现的密码 |
  | 2 | 如果用户尝试登录失败三次，将被阻止再次登录 1 小时。1 小时后，用户可以再次尝试登录 |
• 内部安全说明文档 ：这是威胁模型内部的说明，包括任何有助于阅读和理解特定威胁模型的内容。这些说明用于解释决策背后的逻辑和原理，即决定包含哪些内容或进行哪些权衡。虽然很有用，但它们不能替代清晰的威胁模型文档。

应用建模

大多数应用的威胁建模可通过数据流图（DFD）完成。DFD 是系统处理数据的可视化表示，重点关注数据的转换和处理过程。不过，建模并非只能通过 DFD 进行，也可使用 UML、流程图甚至客户端/服务器图。唯一的实际限制是所选的建模方法要适合被建模系统的类型，并有助于增进对系统及其子系统如何配合和协同工作的理解。

DFD 具有自然分层的优势，适合对涉及安全的组件进行建模。一般的做