这篇文章是收集有关威胁建模的Internet资源。关于威胁情报和威胁搜寻,还有其他类似的帖子。搜索我的博客,您将找到更多。




用于IT用途的威胁建模方法

从概念上讲,威胁建模实践来自一种方法。可以采用多种威胁建模方法。根据已发布的在线内容的数量,以下讨论的四种方法是最著名的。

跨度方法论

的 跨度 威胁建模方法是在1999年由Microsoft引入的,为开发人员提供了一种助记符,用于查找“我们产品的威胁”  。 跨度,模式和实践以及资产/入口点是由Microsoft开发和发布的威胁建模方法。提到“该” Microsoft方法论通常是指STRIDE。

意大利面。

攻击模拟和威胁分析过程(PASTA)是一个以风险为中心的七步方法。[10] 它提供了七个步骤,以使业务目标和技术要求保持一致,同时考虑到合规性问题和业务分析。该方法的目的是提供动态威胁识别,枚举和评分过程。威胁模型完成后,安全主题专家将对识别出的威胁进行详细分析。最后,可以列举适当的安全控制。此方法旨在提供针对应用程序和基础架构的以攻击者为中心的视图,防御者可以从中查看以资产为中心的缓解策略。

三轮车

三轮车方法论的重点 [11] 正在使用威胁模型作为风险管理工具。在此框架内,威胁模型用于满足安全审核过程。威胁模型基于“需求模型”。需求模型建立了利益相关者定义的分配给每个资产类别的“可接受”风险级别。对需求模型的分析会产生一个威胁模型,从中可以列举威胁并分配风险值。完整的威胁模型用于基于资产,角色,操作和计算出的风险敞口构建风险模型。

广大

广大是Visual,Agile和Simple Threat建模的缩写。[12] 该方法的基本原理是必须在基础架构和整个SDLC上扩展威胁建模过程,并将其无缝集成到敏捷软件开发方法中。该方法旨在为各种利益相关者的独特需求提供可行的输出:应用程序架构师和开发人员,网络安全人员以及高级主管。该方法提供了独特的应用程序和基础结构可视化方案,因此威胁模型的创建和使用不需要特定的安全主题专业知识。

威胁建模工具

当前有五种工具可用于组织威胁建模:
  • 微软的免费威胁建模工具–威胁建模工具(以前称为SDL威胁建模工具)。 该工具还利用基于DFD的Microsoft威胁建模方法,并根据STRIDE威胁分类方案识别威胁。它主要用于一般用途。
  • MyAppSecurity提供第一个商业上可用的威胁建模工具– ThreatModeler 它利用基于PFD的VAST方法,并基于可自定义的综合威胁库识别威胁,旨在供所有组织利益相关方共同使用。
  • IriusRisk提供该工具的社区版本和商业版本。该工具专注于通过整个SDLC创建和维护实时威胁模型。它使用完全可定制的问卷和风险模式库来推动流程,并与其他几种不同的工具(OWASP ZAP,BDD-Security,Threadfix ...)连接以实现自动化。
  • securiCAD是斯堪的纳维亚公司foreseeti的威胁建模和风险管理工具。它适用于从CISO到安全工程师再到技术人员的公司网络安全管理。 securiCAD对当前和将来的IT架构进行自动攻击模拟,从整体上识别和量化风险(包括结构漏洞),并根据发现提供决策支持。 securiCAD提供商业版和社区版。 
  • 由Security Compass提供的SD Elements是一个软件安全需求管理平台,其中包括自动威胁建模功能。通过完成有关应用程序的技术细节和合规性驱动因素的简短调查表,可以生成一系列威胁。对策以针对开发人员的可操作任务的形式包括在内,可以在整个SDLC中进行跟踪和管理。
攻击树建模软件
几个商业
包装和 开源的 产品可用。
开源的
广告工具 from
卢森堡大学
商业广告
AttackTree + from
Isograph

安全ree from Amenaza
技术领域

威胁建模与威胁情报

屏幕截图2017-05-02上午8.51.19

其他一些术语:

  • 战术,技术和程序(TTP): TTP是“与特定威胁参与者或威胁参与者组相关的活动或方法的模式,”
  • 结构化威胁信息表达(STIX™)是一种用于交换网络威胁情报(CTI)的语言和序列化格式。
  • 可信的情报自动交换(TAXII™)是一种应用层协议,用于以简单且可扩展的方式传达网络威胁信息。 TAXII是用于通过HTTPS交换网络威胁情报(CTI)的协议。 TAXII通过定义与通用共享模型一致的API,使组织可以共享CTI。

参考文献:

通过 约翰扬

发表评论