威脅建模記錄與報告
Sytance · 更新於
威脅模型記錄產品架構、攻擊場景、防護措施和驗證結果。這些記錄之間應有明確的對應關係，讓評審人員看出每項措施針對什麼攻擊，以及選擇該措施的依據。下文説明各類記錄需要包含什麼，以及如何評審；工業網關示例展示了這些記錄之間的關係。
模型如何組織
將架構圖和分析記錄放在一起，或者使用穩定標識符關聯。小規模評審可以使用文檔；當同一控制對應多個威脅，或需要比較不同版本時，結構化記錄更便於維護。
在 Sytance 中，團隊直接在工作區編輯系統架構和威脅記錄，關聯安全需求、設計與驗證記錄。文檔模塊再根據工作區信息組織報告內容。
產品信息與分析假設
明確產品版本、部署方式、用途和使用人員。説明分析包含哪些部分、依賴哪些外部系統，以及哪些排除項會影響攻擊路徑。
OWASP 的系統分解方法區分入口、資產和信任級別。描述架構時應區分這三類信息，無需把每項受保護資產都畫成圖中的處理節點。
- 產品信息：產品、版本、運行環境、用途和評審負責人。
- 系統架構：架構圖版本、處理過程、存儲、外部實體和數據流。
- 保護目標：需要保密性、完整性或可用性保護的數據與功能。
- 分析假設：每項待確認條件、負責人和確認方法。
每條記錄説明一個攻擊場景
為每項威脅分配固定編號，並關聯架構圖中的相關節點或數據流。記錄攻擊者、所需訪問條件、攻擊動作、利用的弱點和後果。場景依賴特定條件時，也需要説明。
示例 TM-01：只讀網關用戶調用配置寫接口。如果接口僅驗證登入、不檢查寫權限，該用戶就能夠修改遙測目的地址。相關數據流是瀏覽器到管理接口，攻擊影響的是配置數據的完整性。
只填寫“權限提升，高風險”無法表達這個場景。應補充風險判斷的依據：需要什麼賬户、接口如何暴露、可能造成什麼實際影響，以及考慮了哪些現有控制。
防護措施、實現與驗證
對於 TM-01，擬採用的控制 AC-01 要求管理接口在每次配置寫入時檢查操作權限和資源權限。實現記錄應註明具體修改，驗證記錄應包含相應產品版本的實際測試結果。
- 處理決定：降低、消除或接受風險，以及理由和責任人。
- 控制措施：要求的行為，以及它要阻止的攻擊步驟。
- 實現信息：對應組件、變更記錄和產品版本。
- 驗證信息：環境、操作、預期結果、實際結果和證據鏈接。
- 剩餘風險：尚未解決的問題，以及有權作出決定的人員給出的評審結論。
預期結果與實際結果
網關示例的預期結果是：只讀身份的寫請求被拒絕，存儲配置保持不變。實際結果記錄測試時觀察到的行為；尚未執行測試時，該字段保持待驗證。
控制措施同樣如此。“計劃實現簽名驗證”與“已實現並測試簽名驗證”表達的可信程度不同。將記錄轉成報告或遷移到其他工具時，應保留這個差別。
模型複核
請評審人員從架構圖選取一條攻擊路徑，找到所選措施及測試結果。如果找不到對應內容，應確認是缺少記錄，還是攻擊過程沒有説明清楚。
複核內容包括分析版本與架構圖是否一致、每個場景是否有處理決定，以及已接受的風險是否記錄了作出該決定的人員。尚未確認的假設繼續保留，並註明負責人和確認方法。
更新工作區記錄後，在文檔模塊選擇相應報告。Sytance 根據工作區配置與訂閲方案提供 HTML 預覽及 PDF、DOCX 輸出。用於評審前，核對報告中的產品版本、分析內容和驗證證據是否與當前記錄一致。