在应用程序开发之外使用威胁建模？

Question

在应用程序开发之外，威胁建模有用吗？它是否是对已经存在的信息系统进行业务评估的有用工具？

我搞不懂像STRIDE这样的威胁建模方法与诸如NIST 800-30中定义的风险评估技术是如何相关的。

几乎所有关于威胁建模的文章都是在软件开发的背景下进行的。

谢谢!

Answer 1

社会工程是操作安全需要解决的问题。例如，这个模型仍然适用，通过寻找公司协议，然后冒充一个健忘的、新的或工作过度的同事，仅仅是“试着做你的工作”，在电话上等等，就可以伪造身份。

Answer 2

刚才看到了这个，但我最近给出了一个会议谈话：黑匣子威胁建模 (并链接到幻灯片)。

威胁建模并不是一个新的概念(尽管它远远没有像它应该被采纳的那样被采纳)。然而，传统上，这主要是由设计师和安全工程师，有时是开发人员使用的。但它在以后的阶段也同样有用。我将介绍的方法将使戊酯，道德黑客和赏金猎人改进他们的过程，更有效的工作，并返回更好，更重要的结果。..。但是，这种优秀的方法很少用于下游活动，在测试阶段常常被完全忽略。真是太丢脸了！渗透测试通常是在严格的约束条件下进行的(特别是对于外部第三方测试)，或者是在非常有限的机会范围内进行的。这些技术非常有效地突出了许多不同类型的安全问题，并确保了对所选的一组业务风险进行测试。本讲座将展示如何将威胁建模方法整合到您的受威胁活动中。我们将讨论如何利用设计阶段的威胁模型(如果存在的话)，或者如何实现临时威胁建模，作为更有效的渗透测试的一部分。

还包括：

虽然使黑匣子威胁建模(BBTM)更有意义，但它的基本思想是从我完整的TM方法论，价值驱动的威胁建模中借鉴而来的。我一直重复的咒语：

• 找出价值。
• 跟着钱走！
• 或者，人是怎么死的？

关键是，业务环境可能比技术细节更重要，而专注于这一点会使结果更有影响。

总之，有时候我们不应该花费太多的时间来修复技术漏洞，因为它们并不真正具有相关的风险或业务价值。而BBTM有助于将交流的重点放在那些做到这一点的人身上。