安全测试-威胁建模学习

威胁建模：STRIDE 的六类威胁+数据流图中的四类元素

STRIDE 是从攻击者的角度，把威胁划分成 6 个类别，分别是 Spooling（仿冒）、Tampering(篡改)、Repudiation（抵赖）、InformationDisclosure（信息泄露）、Dos(拒绝服务) 和 Elevation of privilege (权限提升)，随着全球对隐私保护重视程度的加大，隐私安全也成了产品的一个重要威胁，因此 STRIDE 的 6 个威胁也添加了一项隐私（Privacy），也就变成了 ASTRIDE，A 代表 Advanced。

STRIDE 威胁建模的第一步就是绘制数据流图，数据流图是由【外部实体】、【处理过程】、【数据存储】、【数据流】这四类元素组成。STRIDE 威胁建模的核心就是使用这四类元素绘制数据流图，然后分析每个元素可能面临的上述六类威胁，针对这些威胁制定消减方法。

转载：https://blog.csdn.net/xl_lx/article/details/39049611     &&   https://www.freebuf.com/articles/es/205984.html