stride-threat-modeling

STRIDE 威胁建模

以结构化研讨会的形式对系统进行威胁建模。

1. 对系统建模

绘制图表：进程、数据存储、数据流、外部参与者和信任边界（权限／上下文发生变化处用虚线标出）。

• 为每个元素编号；注明进程／存储所用的技术
• 也要包含那些不起眼的部分：身份验证流程、异步任务、管理工具、备份

2. 使用 STRIDE 枚举威胁

对每个元素应用适用的类别：

类别	适用于	问题
S 欺骗	进程、参与者	是否有人能冒充它？（身份验证）
T 篡改	数据流、存储	数据在传输中／静态存储时是否可能被修改？（完整性）
R 抵赖	进程	是否可以否认所执行的操作？（日志／审计）
I 信息泄露	数据流、存储	数据是否可能泄露给未授权方？（机密性）
D 拒绝服务	进程、数据流	是否可能被耗尽资源或导致崩溃？（可用性）
E 权限提升	进程	是否可能获得更高权限？（授权）

系统地开展工作：使用「元素 × 类别」网格，确保没有遗漏。

3. 排序

按影响（最坏的现实结果）× 可能性（攻击复杂度、暴露程度）为每项威胁评分。优先级：未授权的远程攻击 > 已授权的远程攻击 > 本地攻击 > 物理攻击。

4. 缓解

针对每项已接受的威胁，选择一种策略：降低风险（控制措施）、转移、接受（记录在案并指定负责人），或规避（更改设计）。将缓解措施映射到具体的待办事项，并附上验收标准。

5. 验证

• 在架构发生变化时审查模型（触发条件：新增外部依赖、新增信任边界、新增数据类别）
• 复盘：比较生产环境中发现的事件与之前建模的威胁，并将遗漏反馈到方法中

输出

包含信任边界的系统图、「元素 × STRIDE」威胁网格、按风险排序的风险登记册，以及以跟踪事项形式记录的缓解措施。