什么是威胁建模？

Question

什么是威胁建模？

Accepted Answer

**Threat modeling** 是一个结构化的过程，用于识别系统的潜在 **security threats** 并规划防御措施——系统地思考可能出错的地方、谁可能发起攻击以及如何应对。这是一种主动的安全方法，在设计阶段进行。

## Threat modeling 是什么

```text
Threat modeling = systematically analyzing a system to find SECURITY THREATS and decide
how to mitigate them — BEFORE building (or as a review):
  → understand the system (data flows, components, trust boundaries, assets)
  → identify THREATS (what could an attacker do? where are the weak points?)
  → assess and prioritize risks; plan MITIGATIONS
→ proactive security: design defenses by thinking like an attacker, early.
```

## 常见方法（和 STRIDE）

```text
Typical questions:
  1. What are we building? (diagram the system, data flows, trust boundaries)
  2. What can go wrong? (identify threats)
  3. What do we do about it? (mitigations)
  4. Did we do a good job? (review)
STRIDE → a framework for categorizing threats:
  Spoofing, Tampering, Repudiation, Information disclosure, Denial of service,
  Elevation of privilege
→ helps systematically consider threat types per component/data flow.
```

## 为什么和何时

```text
✓ PROACTIVE → find/address security issues at DESIGN time (cheaper than after a breach)
✓ Focuses security effort on real RISKS (the most important threats to the system)
✓ Especially valuable for sensitive/critical systems and significant new features
✓ Part of "security by design" / shift-left → build security in, not bolt on
→ A structured way to think about and improve a system's security posture.
```

## 为什么这很重要

理解威胁建模是高级水平的宝贵知识，因为它是一种 **主动、结构化的安全方法**，在设计时发现并解决威胁，所以对于深思熟虑地构建安全系统很重要。

威胁建模——**通过系统地分析系统来识别安全威胁并规划缓解措施**，通过理解系统（数据流、组件、信任边界、资产），识别可能出错的地方，并决定如何防御——代表了一种主动的、设计时的安全方法（早期像攻击者一样思考，而不是对漏洞事件做出反应）。

理解 **常见方法**（问题：我们在构建什么、可能出错什么、我们如何应对、我们做得如何——绘制系统图表和识别威胁）和诸如 **STRIDE** 这样的框架（将威胁分类为 Spoofing、Tampering、Repudiation、Information disclosure、Denial of service 和 Elevation of privilege——帮助系统地考虑威胁类型）为有效地进行威胁建模提供了结构，而不是临时性的方式。

理解 **为什么和何时** 威胁建模很有价值——主动出击（在设计时发现并解决问题，成本远低于漏洞事件后的补救）、将安全工作集中在真正的、最重要的风险上、对于敏感/关键系统和重要功能特别有价值，以及体现 **security by design / shift-left**（构建时就考虑安全，而不是事后补救）——反映了成熟的安全思维。

威胁建模是深思熟虑的团队在设计阶段系统地改进其安全态势的方式，在威胁成为漏洞之前解决它们。

由于主动的、设计时的安全（在构建前发现并解决威胁）比被动的安全更有效且成本更低，由于威胁建模提供了进行这种分析的结构化方式（系统地识别威胁和缓解措施，使用 STRIDE 等框架），由于理解它反映了成熟的安全实践，所以理解威胁建模是高级水平的宝贵知识——这是构建安全系统的重要主动安全实践，体现了 security-by-design，反映了高级角色（设计和评审系统安全性）应具备的结构化、攻击者思维的安全思维。