安全倡导者与威胁建模

安全倡导者是嵌入产品团队中的开发者或工程师，负责充当安全联络人。他们不是全职安全专业人员，但接受过额外的安全培训，并在团队内部倡导安全实践。

安全倡导者计划可以在整个组织中推广安全知识：

• 每个产品团队配备 1 至 2 名安全倡导者
• 定期培训并参加安全团队会议
• 负责所在团队的安全审查
• 在开发团队与安全团队之间搭建沟通桥梁
• 减少集中式安全审查造成的瓶颈

威胁建模是在构建系统之前，对其潜在威胁进行结构化分析。它需要回答以下问题：

• 我们要构建什么？
• 可能出现什么问题？
• 我们将如何应对？
• 我们是否做得足够好？

STRIDE 是最常见的威胁建模分类法：

• S欺骗 — 冒充其他用户或系统
• T篡改 — 修改数据或代码
• R抵赖 — 否认执行过某项操作
• I信息泄露 — 将数据暴露给未经授权的人员
• D拒绝服务 — 破坏可用性
• E权限提升 — 获取未经授权的权限

威胁建模从一张数据流图开始，其中展示：

• 进程 — 应用程序组件
• 数据存储 — 数据库、文件、缓存
• 外部实体 — 用户、第三方应用程序编程接口
• 数据流 — 数据如何在组件之间移动
• 信任边界 — 权限发生变化的位置

将每个 STRIDE 类别应用于每个元素：

• 在每个信任边界交叉处：欺骗、篡改
• 在每个数据存储处：篡改、信息泄露
• 在每个进程处：适用所有 STRIDE 类别
• 对于每条数据流：篡改、信息泄露

PASTA 是一种以风险为中心、分为七个阶段的威胁建模方法：

1. 定义业务目标
2. 定义技术范围
3. 应用程序分解
4. 威胁分析
5. 漏洞和弱点分析
6. 攻击建模
7. 风险与影响分析

请在以下情况下进行威胁建模：

• 设计新功能或系统时
• 架构发生重大变化时
• 发生安全事件后（更新模型）
• 对关键系统每年进行一次

尽早进行威胁建模可以避免昂贵的返工——在编写代码之前，架构变更的成本很低。

用于威胁建模的工具：

• OWASP 威胁龙 — 免费的基于网页的 DFD 编辑器
• 微软威胁建模工具 — 以 STRIDE 为重点，基于 Windows
• IriusRisk — 企业级工具，可与 Jira 集成
• draw.io — 用于绘制简单手动 DFD 的工具

安全倡导者让威胁建模更易于理解和采用：

• 将威胁描述为用户故事：“作为攻击者，我可以……”
• 将威胁映射到 OWASP 前十项，便于理解
• 在同一个待办列表中创建安全需求工单
• 将安全债务与技术债务一并衡量

威胁模型的交付物：

• 列出所有已识别威胁的威胁登记表
• 每个威胁的风险评级（可能性 × 影响）
• 针对每个威胁的缓解措施
• 待办列表中的安全需求
• 记录 DFD，并与设计文档一同存储

在 STRIDE 模型中，哪个类别描述了攻击者修改两个系统之间传输中的数据？

安全倡导者将安全知识融入产品团队，在不造成瓶颈的情况下扩大安全覆盖范围。威胁建模（STRIDE、PASTA）使用数据流图，在编写代码之前识别威胁。STRIDE 类别包括：欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升。输出包括带有风险评级的威胁登记表和待办列表中的安全工单。