威胁建模与网络安全测试方法

1.软件安全的开发背景

1.1软件发展与安全问题

系统软件问题

2014年9月，破壳漏洞首次爆发，由于没有在输入的过滤中严格限制边界且没有做合法化参数 断，导致在Linux等操作系统上被远程执行任意命 。包括但不限于：redhat，centos，ubuntu等平台

应用软件问题

自2011年以来，网上陆续纰漏出一些信息系统的安全漏洞，导致大量信息泄漏。造成这一系列安全问题的原因是在开发过程中缺乏安全知识，导致开发出的系统存在SQL注入，密码重置，XSS等漏洞。

第三方代码安全

2014年0penSSL1.0.101.0.2-beta1版本发现Heartbleed漏洞，该漏洞暴露https服务器64kb的内存明文信息，同年7月，Struts2漏洞爆发，利用该漏洞，攻击者可对服务器进行远程命令执行。

新技术安全

进入人工智能时代，生成式AI将助长勒索软件的攻击，加速漏洞识别的速度，随着恶意大语言模(LLM)的大量涌现和发展，这一格局发生了彻底改变。如今，黑客只需简单提问:“以表格形式列出(某组织)所有防火墙的漏洞”，下一个命令可能是:“帮 我开发针对该防火墙的漏洞利用代码”，任务变得轻而易举。

1.2 软件安全问题产生的原因

• 软件开发安全意识薄弱
• 软件开发者缺乏安全知识
• 软件趋向大型化第三方扩展增多
• 软件使用场景更具威胁
• 恶意代码泛滥
• 黑客活动猖獗

1.3 漏洞修复的成本

运行阶段

运行一段时间后，发现系统漏洞，需要付出额外的金钱，沟通成本高，需要各个环节的介入，修复成本倍数上升，给企业带来相当大的风险和成本压力。

发布阶段

发布到线上后检测出的漏洞，需要安全人员给出方案，与研发人员沟通，由测试人员验证，也需要承受一定可能性的风险，相对成本增加。

测试阶段

测试阶段发现的漏洞，由测试提交到研发，需要一
定的沟通成本，相对来说研发周期较高。

研发阶段

研发阶段发现的漏洞可以由研发直接解决，成本低，
效率高。

2.常见的软件安全开发方法

2.1 开发方法

• SDL： 安全开发生命周期
• BSI: 内建安全
• BSIMM: 软件安全构建成熟度模型
• SAMM: 软件保障成熟度模型
• CLASP: 综合的轻量应用安会过程

2.2 什么是SDL

Security Development LifecycleSDL是微软提出的从安全角度指导软件开发过程的管理模式。是将设计、代码和文档等安全相关漏洞减到最少，在软件开发的生命周期中尽可能的早发现并解决相关漏洞建立的流程框架。为了实现保证最终的用户安全，在软件开发各个阶段中引入针对项目安全和用户隐私问题的解决方案。帮助软件研发类企业在产品研发过程中减少产品的安全问题，并通过方法实践从每个阶段提高产品的整体安全级别。

2.3 微软SDL发展历史

2.4 微软SDL安全活动

2.5 微软SDL实施流程

3.威胁建模介绍

3.1 威胁建模发展历史

3.2威胁建模

1. 什么是威胁建模

威胁建模是一种通过结构化方法，系统性地识别和评估产品安全风险与威胁的过程。此过程中，将对这些风险和威胁制定相应的缓解措施。

2. 为什么要进行威胁建模

• 有助于在设计阶段全面了解潜在的安全威胁，并指导选择合适的防护措施。
• 使得风险得以有效管理。
• 支持重新验证产品的架构和设计，确保其安全性。
• 有助于降低软件面临的攻击风险。

3. 谁需要进行威胁建模

威胁建模应该在产品设计初期、架构评审阶段，以及产品部署后的运行时进行。这是一个跨部门、跨职能的活动，涉及安全专家、产品经理、开发者和架构师等多方参与。

3.3 FDA中威胁建模定义

• Threat modeling includes a process for identifying security objectives, risks, and vulnerabilities across the

medical device system, and then defining countermeasures to prevent, mitigate, monitor, or respond to the

effects of threats to the medical device system throughout its lifecycle. It is foundational for optimizing system,

product, network, applicati