使用 STRIDE 与 PASTA 进行威胁建模

威胁建模是在开发之前或设计评审期间，用于识别、确定优先级并处理系统安全威胁的结构化过程。它回答以下问题：我们正在构建什么？可能出什么问题？如何修复？结果的效果如何？

请在设计阶段（价值最高、修复成本最低）、开发重大功能期间、架构发生变更后，以及针对生产系统定期进行威胁建模。在威胁建模中发现设计缺陷的修复成本，比在生产环境中发现该缺陷低 60 倍。

STRIDE 是由微软开发的一种威胁分类记忆框架。每个字母代表一个威胁类别：欺骗、篡改、抵赖、信息泄露、拒绝服务和权限提升。请对架构中的每个组件系统地应用 STRIDE。

欺骗：攻击者能否冒充合法用户、服务或组件？缓解措施：强身份验证、证书。篡改：攻击者能否修改传输中或静态存储的数据？缓解措施：数字签名、基于哈希的消息认证码、完整性检查、TLS。

抵赖：用户能否否认执行过某项操作？缓解措施：审计日志记录、数字签名。信息泄露：敏感数据能否被暴露？缓解措施：加密、访问控制。拒绝服务：可用性是否会受到破坏？缓解措施：速率限制、冗余、输入验证。

攻击者能否获得超出预期的更高权限？请列出系统中的所有权限级别。检查以下问题：低权限用户能否访问管理员功能？用户进程能否逃逸沙箱？每条权限提升路径都需要通过访问控制加以缓解。

请创建一份数据流图，展示进程、数据存储、外部实体和数据流，并标出信任边界。每个元素以及每次跨越信任边界都会产生 STRIDE 威胁。数据流图提供了系统化结构，可防止遗漏攻击面。

攻击模拟与威胁分析流程（PASTA）是一种以风险为中心的威胁建模方法论，包含七个阶段：定义目标、定义技术范围、分解应用程序、分析威胁、识别漏洞、枚举攻击，以及结合对策开展风险分析。

STRIDE 以组件为重点——从数据流图系统地生成威胁。PASTA 以风险为重点——从业务目标出发，逐步深入到技术威胁。STRIDE 适用于开发团队；PASTA 与风险管理和面向管理层的沟通更加契合。

攻击树将根威胁目标（例如“窃取身份验证令牌”）分解为由多种替代攻击路径组成的子树。每个叶节点都是一种具体、明确的攻击。布尔逻辑（AND/OR）表示攻击成功是否需要所有或任一子条件为真。

OWASP 威胁龙是一款免费、开源、基于数据流图的威胁建模工具。微软威胁建模工具包含基于 STRIDE 的引擎。IriusRisk 和 ThreatModeler 是商业选项，可与项目管理系统和持续集成/持续交付流水线集成，以持续进行威胁建模。

实施强大的审计日志记录和数字签名，可以缓解哪种 STRIDE 威胁？

使用 STRIDE 进行威胁建模，可以从数据流图系统地生成威胁；而 PASTA 以风险为中心，从业务目标出发。两者都会生成经过优先级排序的威胁列表，用于在编写或部署代码之前指导安全控制措施的选择。