微软威胁建模工具 STRIDE

最新推荐文章于 2024-05-25 06:35:29 发布
最新推荐文章于 2024-05-25 06:35:29 发布
阅读量1.4k 收藏 10
点赞数 1
分类专栏： Security 文章标签： microsoft 威胁建模 stride
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/quandaquan/article/details/128112791
版权

威胁建模要回答的四个问题

  1. what are we woking on 

  2. what can go wrong

  3. what are we going to do about this

  4. did we do a good enough job

说到threat modeling 不得不提的就是微软的STRIDE

微软也提供了工具来做这个工作

Microsoft Threat Modeling Tool overview - Azure | Microsoft Learn

工具提供模板来建模，分析威胁，算是简单易上手的。

工具的使用

1 DFD 画图

画出产品服务的数据流图，以下是图标的示意

 画了个demo，大概是这个意思

 

2. 分析 

点下分析试图，就可以生产threat列表了

 还有每个威胁的描述。

每个元素和stride威胁对应关系大概是酱紫的

 

3 报告

工具支持生成report用户团队间共享

 然后呢，就是逐个分析各个元素的威胁并且提供消解方案措施了

犬大犬小
关注
  • 1
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
SDL介绍-STRIDE威胁建模方法.pdf
07-01
SDL介绍-STRIDE威胁建模方法
TMT：Microsoft威胁建模工具脚本
02-08
TMT Microsoft Threat Modeling Tool python脚本可增加TMT对模板开发人员和模型制作人员的实用性。 对于模板设计，该项目希望解决管理威胁和模板的“数据库”所带来的一些复杂性。 对于建模，该项目尝试从模型中提取信息并改善威胁建模的整个过程。 .tb7模板文件的脚本： template2csv.py-枚举模板的模具，威胁类别，威胁和威胁逻辑。 将元素/模板和威胁另存为csv文件。 csv2template.py（进行中）-用于将template.csv文件转换回.tb7文件的脚本。 要合并新威胁或编辑模板，您将修改并转换回.tb7格式 template2sql.py-枚举模板的威胁和模具/元素。 另存为sqlite db .tm7模型文件的脚本： model2csv.py-枚举模型的流程，注释，模板，模板属性以及我们无法从TMT的内置csv文件
Microsoft Threat Modeling Tool 使用(一)
HaSaKing的博客
04-29 927
Microsoft Threat Modeling Tool（MTMT）是一款由微软提供的用于帮助软件开发人员、安全专家和系统架构师设计和评估软件系统安全性的工具。它能够帮助用户通过建立模型来识别潜在的安全威胁，并为系统设计提供安全控制建议。：MTMT提供了一个直观的界面，让用户可以轻松地创建和编辑系统的威胁模型。用户可以使用各种元素和数据流来表示系统中的组件和信息流动，并通过连接这些元素和数据流来建立系统的拓扑结构。
【SDL实践指南】微软威胁建模工具
Fly_鹏程万里
03-27 722
威胁建模(Threat Modeling)是一个不断循环的动态模型，它可以帮助企业确定对应用程序造成影响的威胁、攻击、漏洞和对策，企业可以使用威胁建模来形成应用程序的设计、实现企业的安全目标以及降低风险
STRIDE 威胁建模:面向安全应用程序开发的威胁分析框架
热门推荐
云上笛暮
05-02 1万+
STRIDE为每一种威胁英文的首写字母，​​​​​​Spoofing欺骗、Tampering篡改、Repudiation否认、Information disclosure信息泄露、Denial of Service拒绝服务、Elevation of privilege特权提升。虽然 STRIDE 威胁建模本身对组织很有用，但它也是一种更广泛意义的威胁分析方法，可为安全团队提供一个实用的框架，用于定义安全要求、创建应用程序图、识别威胁、减轻威胁、并验证威胁已得到缓解。
Microsoft Threat Modeling Tool
05-15
Microsoft Threat Modeling Tool 微软威胁建模工具安装器，下载后会自动安装最新版本的Microsoft Threat Modeling Tool
Microsoft SDL-STRIDE威胁建模
煜铭2011
05-08 8998
0x00背景介绍 威胁建模工具是 Microsoft 安全开发生命周期 (SDL) 的核心要素。潜在安全问题处于无需花费过多成本即可相对容易解决的阶段，软件架构师可以使用威胁建模工具提前识别这些问题。因此，它能大幅减少开发总成本。此外，我们设计该工具时考虑到了非安全专家的体验，为他们提供有关创建和分析威胁模型的清晰指导，让所有开发人员都可以更轻松地使用威胁建模。 0x01使用场景 ...
威胁建模-STRIDE.pptx
12-29
STRIDE 模型介绍
STAC(威胁建模)-microsoft
09-23
Threat Modeling with STRIDE，如何利用微软STRIDE模型进行威胁建模
STRIDE威胁安全模型.xlsx
12-30
STRIDE威胁安全模型.xlsx
基于STRIDE-LM的5G网络安全威胁建模研究与应用.pdf
09-19
基于STRIDE-LM的5G网络安全威胁建模研究与应用.pdf
TMTool：Microsoft威胁建模工具脚本
02-16
TMT Microsoft Threat Modeling Tool python脚本可增加TMT对模板开发人员和模型制作人员的实用性。 对于模板设计，该项目希望解决管理威胁和模板的“数据库”所带来的一些复杂性。 对于建模，该项目尝试从模型中提取信息并改善威胁建模的整个过程。 安装 由于此仓库目前是一组脚本，因此请使用pip target标志进行安装 $ pip install TMTool -t /path/to/directory 剧本 .tb7模板文件： template2xlsx.py-枚举模板的模板，威胁类别，威胁和威胁逻辑。 将元素/模板和威胁另存为.xlsx文件。 xlsx2template.py-将template.xlsx文件转换回.tb7文件的脚本。 要合并新威胁或编辑模板，您将修改并转换回.tb7格式 template2sql.py-枚举模板的威胁和模具/元素。
基于威胁建模安全设计工具
05-31
用于完成安全需求分析报告中的威胁建模，通过威胁建模来进行安全设计
web渗透--69--Microsoft-Threat-Modeling-Tool威胁建模工具介绍
武天旭的博客
09-11 6462
1、工具安装 前期准备： 1）预装Windows操作系统，因为该工具仅适用于Windows 2）需要安装.NET Framework 4.7.1及其以上版本 3）下载代理程序后，需要联网进行安装 下载安装 1）下载地址：https://aka.ms/threatmodelingtool 2）双击安装包，在弹出的框中点击“安装” 3）等待下载，直到安装完成 2、工具模块 该工具主要有以下五个模块：创建模型、打开模型、阅读使用指南、创建一个新的模板、打开一个模板。由于该工具内置的模板已经足够使用，因此常用的模块
安全设计 | Microsoft 威胁建模工具Threat Modeling Tool安装、使用及威胁生成原理详解（文末附样例）
最新发布
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
05-25 1039
微软 SDL 威胁建模方法涉及创建关系图、识别威胁、缓解问题和验证每个缓解操作。下面的关系图重点突出了此过程。在识别分析威胁时又用到了SRIDE方法。若想了解更多细节，可以关注博主，参阅博主前期文章。
国产空转工具推荐 | STRIDE：使用scRNA-seq对空间转录组进行精准的整合分析
wen05054105的博客
09-28 570
2022年3月，来自同济大学的科研团队在《Nucleic acids research》发表了一种基于主题模型的空间转录组学去卷积方法：STRIDE，通过机器学习方法及数据整合，将空间转录组学数据提升至单细胞精度。
研发效能认证学员作品：使用威胁建模进行DevSecOps实践
m0_69584846的博客
07-11 320
姚圣伟（现就职天津引元科技 天津市区块链技术创新中心）研发效能（DevOps）工程师认证学员DevOps 最开始最要是强调开发和运维的协作与配合，至今，已不仅仅涉及开发和运维团队。为了更好地发挥出 DevOps 作用，就必须将IT全流程，各工种，融入应用的整个生命周期中。虽然 DevOps 的工作方式让开发团队能够更快地部署应用程序，但这就像想要在悬崖上走得更快一样，并没有什么安全可言！在当下，凭借云，DevOps 团队可以获得前无所有的基础结构和规模。
谈谈方法论--微软STRIDE威胁模型
莫慌的博客
02-27 1099
谈谈STRIDE的在实际工作中的应用
信息安全威胁建模工具
煜铭2011
10-12 1344
0x00 背景 威胁建模工具是 Microsoft 安全开发生命周期 (SDL) 的核心要素。潜在安全问题处于无需花费过多成本即可相对容易解决的阶段，软件架构师可以使用威胁建模工具提前识别这些问题。因此，它能大幅减少开发总成本。此外，我们设计该工具时考虑到了非安全专家的体验，为他们提供有关创建和分析威胁模型的清晰指导，让所有开发人员都可以更轻松地使用威胁建模。 0x01Microsoft S...
微软威胁建模模型STRIDE怎么在实际中运用
08-13
### 回答1： STRIDE是一种常用的威胁建模模型，用于帮助分析系统中可能存在的威胁。下面是一些关于如何在实际中使用STRIDE的建议： 1. 确定系统范围：在开始分析之前，需要明确分析的系统是什么。这可以帮助确定需要考虑的所有方面以及可能的威胁。 2. 理解STRIDE分类：STRIDE将威胁分为六类：Spoofing（欺骗）、Tampering（篡改）、Repudiation（抵赖）、Information disclosure（信息泄露）、Denial of service（拒绝服务）和Elevation of privilege（提权）。了解这些分类可以帮助确定可能的威胁类型，并更好地规划威胁建模的过程。 3. 识别系统中的重要资产：重要的资产通常是攻击者的目标，因此需要特别关注它们。对于每个重要的资产，需要确定可能的威胁并对其进行建模。 4. 使用威胁建模工具：有许多威胁建模工具可以帮助自动化威胁建模的过程。例如，Microsoft的“威胁建模工具”（Threat Modeling Tool）提供了一个图形界面，可以使用STRIDE等模型来识别威胁，并生成威胁建模文档。 5. 定期评估威胁模型：由于威胁环境不断变化，威胁建模应该是一个持续的过程。定期评估模型可以帮助识别新的威胁，并对现有模型进行修正和更新。 6. 考虑安全措施：在确定威胁之后，需要考虑适当的安全措施来减轻或消除威胁。这些措施可以包括物理措施、网络安全措施、身份验证和访问控制等。 总之，STRIDE可以作为一种帮助识别系统中潜在威胁的有用工具。然而，为了最大限度地利用STRIDE，需要结合实际情况和经验，不断完善和更新威胁建模的过程。 ### 回答2： 微软威胁建模模型STRIDE是一种用于评估软件系统安全的框架。在实际中，可以按照以下步骤运用STRIDE模型。 首先，确定系统的边界和功能。了解系统的功能和范围，确定系统与外部环境之间的边界。这将有助于识别潜在的威胁来源和可能的攻击路径。 其次，对系统进行分析，并使用STRIDE模型识别潜在威胁。STRIDE模型是基于六种不同的威胁类别：Spoofing（伪装）、Tampering（篡改）、Repudiation（抵赖）、Information Disclosure（信息泄露）、Denial of Service（拒绝服务）和Elevation of Privilege（提权）。通过应用STRIDE模型，可以识别潜在的威胁并进行分类。 然后，对特定的威胁进行分析和评估。为每个被识别的威胁，进行详细的分析，评估其潜在影响和可能性。这将有助于确定哪些威胁是最严重的，以及应该优先处理哪些威胁。 接下来，制定相应的安全对策。针对每个被识别的威胁，制定相应的安全对策。这些对策应该能够阻止或减轻威胁的发生，并提供一定的保护措施。 最后，实施和监控安全对策。将安全对策纳入软件开发和维护过程中，并进行监控和评估。定期检查和更新安全对策，以适应不断变化的威胁环境。 总的来说，STRIDE模型可以帮助软件系统的开发者和维护者全面评估和处理潜在的安全威胁。通过识别和分析威胁，制定相应的对策，并不断监控和更新安全措施，可以提高系统的安全性，并减少遭受攻击的风险。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值