威胁分析和风险分析
威胁分析
三个定义：威胁（Threat），指的是可能造成危害的来源。风险（Risk），可能造成的损失。漏洞，系统中可能被威胁利用从而造成危害的地方。
威胁分析就是把系统中存在的威胁全部找出来，即确定所有可能的危险来源。除了单纯的头脑风暴外，存在一些科学的方法，比如威胁建模，它使用一个模型帮助思考可能在那些地方可能存在威胁，相比人干想，能够避免一定的遗漏。
威胁建模个人感觉就是列出一张清单，上面有着威胁可能出现的形态，然后我们对着这张单，一条条思考就行。
一种实用的威胁建模是微软的STRIDE模型。名字取自六类可能的威胁。
| 威胁 | 定义 | 对应的安全属性 |
|---|---|---|
| Spoofing（伪装） | 冒充他人身份 | 认证 |
| Tampering（篡改） | 修改数据或代码 | 完整性 |
| Repudiation（抵赖） | 否认做过的事 | 不可否认性 |
| InformationDisclosure（数据泄露） | 机密信息的泄露 | 机密性 |
| Denial of Service（拒绝服务） | 拒绝服务 | 可用性 |
| Elevation of Privilege（权限提升） | 未经过授权获得许可 | 授权 |
一个让人无奈和沮丧的事，工程师花了大把的时间指定的方案，却由于出人意料地漏洞被击破。这就是威胁分析阶段出现的问题。（当然不可否认的是，极难真的在这一阶段就把所有威胁找出来，漏洞总是出人意料，所以才会有许多补丁，但只要这一步做的尽可能地好，后续威胁造成的破坏和补救的代价就都会可接受些。）
风险分析
风险是某一个威胁可能造成的损失，由风险能够造成的伤害和风险发生的概率两方面因素决定。即：
$$
Risk = Probability * Damage Potential
$$
一种用于风险分析的方法是微软的DREAD模型，用于指导我们应该从哪些方面判断一个威胁的风险。
| 高（3） | 中（2） | 低（1） | |
|---|---|---|---|
| Damage Potential（破坏潜力） | 获得完全的验证权限；执行管理员操作；非法上传文件 | 泄露敏感信息 | 泄露其他信息 |
| Reproducibility（再现性） | 攻击者能够随意地再次发动攻击 | 攻击者可以再次攻击，但存在时间限制 | 攻击者很难重复攻击 |
| Exploitability（可利用性） | 初学者短时间内也能掌握攻击方法 | 熟练的攻击者才能完成攻击 | 漏洞利用条件极其苛刻 |
| Affected users（受影响用户） | 所有用户，使用默认配置，关键用户 | 部分用户，使用非默认的配置 | 极少用户，匿名用户 |
| Discoverability（可发现性） | 漏洞很明显，攻击条件很容易获得 | 在私有区域内，部分人能够看见，需要深入挖掘 | 极难发现该漏洞 |
在DREAD模型中，每一种风险因素都有高中低三种危险等级。用321个表示其权重，总合个因素的权重可以算出某个威胁的风险值。
一个例子，疫情封校期间，FQ出校门：风险值计算应该是：D(2) + R(3) + E(3) + A(2) + D(3) =13 。这算是一个风险较大的漏洞了，所以应该加大校警巡逻力度。