threat-model

此技能的功能

使用行业标准框架，为目标系统开展结构化威胁建模练习：STRIDE（威胁分类）、DREAD（风险评分）、PASTA（流程驱动方法）和攻击树（攻击分解）。生成包含 MITRE ATT&CK 映射的威胁目录、风险矩阵和按优先级排序的缓解路线图。

使用时机

• 在系统设计或架构评审期间，在实施前识别安全风险
• 准备安全审计或合规评估，需要提供书面威胁分析时
• 将新系统纳入安全计划并需要建立基线威胁覆盖时
• 重大功能或基础设施变更需要重新评估攻击面的情况下

前提条件

• 无需外部工具（基于方法论和检查清单）
• 能够访问系统架构图、数据流图（DFD）或同等文档
• 了解系统的技术栈、信任边界和数据敏感级别
• （可选）MITRE ATT&CK 参考：https://attack.mitre.org

输入

项目	描述	示例
SYSTEM_NAME	正在评审的系统名称	Payment API v3
SYSTEM_TYPE	系统类型	web-app / api / microservice / infrastructure
TECH_STACK	技术栈	Node.js, PostgreSQL, Redis, AWS ECS
DATA_SENSITIVITY	范围内的最高数据分类	PII / PCI / internal / public
REVIEW_SCOPE	评审边界	All external-facing endpoints and auth flows

工作流

步骤 1：系统分解

在识别威胁前，先确定需要保护的内容。收集以下目标系统信息。

参考：请参阅 REFERENCE.md，了解资产清单、信任边界和入口点的 Markdown 模板。

数据流图（DFD）摘要

如果无法提供可视化 DFD，请将主要数据流编写为编号列表：

## Key Data Flows

1. User submits credentials → Web tier → Auth service → Credentials DB → JWT issued
2. Authenticated user submits payment → Web tier → Payment service → Payment processor (external) → Transaction DB
3. Admin queries reports → Admin UI → Reporting service → Read replica DB

步骤 2：威胁识别（STRIDE）

将 STRIDE 模型应用于每个 DFD 元素（进程、数据存储、数据流、外部实体）以及每个信任边界穿越点。为识别出的每个威胁创建目录条目，采用 T-NNN 格式。

参考：请参阅 REFERENCE.md，了解 STRIDE 类别参考表和威胁目录条目模板。

针对所有 STRIDE 类别和 DFD 元素中的每个已识别威胁，重复使用威胁目录模板。

步骤 3：威胁优先级排序（DREAD 评分）

使用 DREAD 模型为目录中的每个威胁评分。每个维度的评分为 1–10；DREAD 总分取平均值，并四舍五入到小数点后一位。

参考：请参阅 REFERENCE.md，了解 DREAD 维度、评分表模板和风险级别阈值。

CVSS 映射（可选）

对于需要正式 CVE 风格评分的威胁，请使用 NVD 计算器计算 CVSS v3.1 基础分数，并与 DREAD 分数并列：https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator

步骤 4：缓解措施设计

针对每个 HIGH 和 CRITICAL 威胁，运用纵深防御原则设计具体的缓解措施。

参考：请参阅 REFERENCE.md，了解缓解路线图模板和 5x5 风险矩阵模板。

完成条件

• 系统分解已完成：资产、信任边界、入口点和数据流均已记录
• 已对每个 DFD 元素和信任边界进行 STRIDE 分析
• 每个已识别威胁都有一个 T-NNN 目录条目，其中包含 STRIDE 类别、攻击向量、影响、MITRE ATT&CK 映射以及现有/建议的控制措施
• 每个威胁都有 DREAD 评分和风险级别
• 已为所有 HIGH 和 CRITICAL 威胁制定缓解路线图
• 风险矩阵概述了完整的威胁组合
• 已明确说明剩余风险

失效模式

问题	原因	解决方案
资产清单不完整	系统文档缺失或过时	访谈系统负责人；根据网络图或源代码进行逆向分析
STRIDE 未发现威胁	分析过于表面	将 STRIDE 应用于每条单独的数据流，而不仅是整个系统
不同评审者的 DREAD 评分不一致	评分具有主观性	使用参考威胁进行校准（例如，先为已知 CVE 评分，再为新威胁评分）
缓解路线图缺乏可操作性	控制措施描述过于抽象	每项控制措施都应明确具体的技术、配置或代码变更
MITRE ATT&CK 映射不清晰	不熟悉该框架	使用 https://mitre-attack.github.io/attack-navigator/ 上的 ATT&CK Navigator 按技术搜索

备注

• 此技能涵盖最常见的四种威胁建模框架。对于新系统，请从 STRIDE + DREAD 开始。在法规敏感的场景（PCI DSS、HIPAA）中，如果需要完整的流程追踪，则加入 PASTA。
• 威胁模型是持续更新的文档。在架构发生重大变化、增加新的外部集成或数据分类发生变化后，请重新运行此技能。
• 攻击树最适用于高价值的特定威胁（例如“攻击者获取管理员访问权限”）。构建攻击树时，将攻击者的目标置于根节点，并将其分解为 AND/OR 子目标，直至叶节点成为具体、可测试的攻击步骤。
• 将此技能与 owasp-check（用于 Web 应用）和 dependency-audit（用于供应链威胁）配合使用，以实现更全面的覆盖。
• MITRE ATT&CK 企业矩阵参考：https://attack.mitre.org/matrices/enterprise/