威脅建模亟待一場變革
企業需要重新考慮他們的威脅建模方法，否則可能會失去威脅建模這一網絡安全武器庫中關鍵防御武器的價值。
1. 威脅建模過程
傳統的威脅建模方法可能非常有效，但在當前的計算和威脅環境中，它們的擴展性不夠好。隨著越來越多的業務運營轉向數字化，解決組織的所有高優先級威脅變得非常耗時，導致太多漏洞未得到解決。
如何簡化這個過程?組織應該首先意識到他們正在反向進行威脅建模，并且他們需要顛倒這些模型的開發方式。
2. 建模更簡單
從廣義上講，威脅建模涉及從日常的安全工作中退一步，以了解企業的系統、評估網絡和數字資源、識別威脅環境中的漏洞并優先考慮涵蓋保護、響應、補救和恢復的計劃。在某些情況下，威脅建模團隊可能主要由安全專業人員和架構師組成。在其他情況下，組織可以將各種利益相關者聚集在一起，包括應用程序所有者、技術支持人員、管理員等。
這些團隊有許多明確定義的框架需要遵循，例如STRIDE，它是1999年由Microsoft開發的。STRIDE中的威脅建模會議通常以類似于白板會議的方式開始，安全專家和利益相關者在會上討論風險因素，并集思廣益怎么辦。然而，這種方式目前必須要改變。
如果企業每次都通過在白板上繪制系統組件和架構圖來開始其流程，但一旦遇到的是在應用程序中擴展威脅建模，那么這種會議討論的方式已經落后了。
隨著技術和數字系統在快速發展的基于云的環境中變得越來越普遍，一群專家坐在一個房間里幾個小時，是無法與多個系統日益增加的威脅相抗衡的，因為一個大型組織可能擁有數百個系統。更具有挑戰性的是，隨著物聯網的發展，新的威脅媒介不斷出現，這些媒介涵蓋了從汽車和交通燈到工業控制系統和人們客廳中的連接產品的方方面面。
在許多方面，硬件漏洞和物聯網構成了全新的領域，創造了新的目標類型。企業是否可以使用當前的勞動密集型方法對如此多的新攻擊向量進行建模?答案是：不能。
3. 切入正題
網絡安全業界的一個新興趨勢是從另一端(攻擊端)開始威脅建模過程。組織可以掃描現有系統，整合有關當前和可能威脅的數據，而不是從白板和人聲鼎沸的會議開始，安全團隊需要像黑客一樣思考，試圖識別潛在威脅。
數字化轉型的一線希望在于，大多數系統都有一種公開數據的方法，可以幫助企業識別引入業務風險的組件或流程。借助結構化數據和分析工具，安全從業人員可以快速生成不同的系統風險模型，以突出整個組織的威脅、漏洞和弱點。
如果企業以可重復的自動化方式執行此操作，就不僅可以同時對數百個應用程序執行威脅建模，而且建模過程可以近乎實時地進行，以基于活動系統持續監控組織的安全狀況。
通過利用工具可以自動掃描系統中的元數據，以對各種領域的威脅進行建模，例如在源代碼存儲庫、云管理工具和配置管理數據庫中就可以這樣建模。企業可以利用與各種技術組件相關的商業漏洞或開源數據庫，例如OWASP TOP10、MITRE ATT&CK框架以及由安全提供商整合的大量數據庫。
通過將從這些系統掃描中發現的技術資產與已知組件弱點和漏洞的數據庫相匹配，組織可以快速確定其基線安全狀況。然后，它可以在此基礎上進行構建，決定哪些漏洞適合進行完整的白板頭腦風暴會議。這將創建一種更高效、更有效的方法，能夠將威脅建模的優勢應用于組織認為可能構成最大風險因素的所有威脅。
4. 建模未來發展
威脅建模的時代還沒有過去，它仍然是解決風險和漏洞非常有價值的工具。但是，如果企業想借它涵蓋自身的所有業務，那么原有的威脅建模方法會拖慢整個流程。
但通過優先使用自動化工具和大量可用威脅信息評估企業安全風險的方式來逆轉這一過程，可以更快地解決所有高風險威脅，且不會忽視任何威脅。
【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】
