一种威胁模型及安全威胁分析方法.pdfVIP

一种威胁模型及安全威胁分析方法 黄敏桓王春雷 (北京系统工程研究所，北京100101) 摘 要 文章提出了一种安全威胁分析的方法。文中首先描述了笔者所建立的威胁模型，并采用攻击 树对该威胁模型进行扩展，使得威胁分析能够从威胁实体、威胁目标深入到具体的攻击途径。基于这 样的一个威胁模型，文中详细阐述了进行安全威胁分析的具体过程和步骤。 关键词 软件安全威胁描述威胁分析攻击树安全需求分析 当今社会的正常运作对于计算机软件系统的依 标；而攻击则是实施该威胁的可能途径和方式。 赖性越来越高，软件安全(SoftwareSecurity)已经成为一个完整的威胁描述包括以下主要部分：被威胁 计算机科学的重要领域。软件工程和系统安全工程的 对象，威胁实体，威胁目标。威胁描述的层次关系如图 相互融合创建了新的研究领域一软件安全工程。在软 1示意。 件安全工程中，软件安全的威胁和风险分析是不可缺 少的重要部分。通常，软件安全作为系统的非功能性 i 威胁目标 ! 需求，其安全需求分析具有其特殊性。通过将安全威 胁的建模和风险分析结合到软件的需求分析中，我们 l圆圆圈圆圆圆卜围 可以将软件的安全需求分析有机地结合到软件工程 的完整的生命周期中。 攻击树扩展 威胁是对于一个系统脆弱性的潜在使用方式。而 利用相关技术进行恶意破坏软件系统的行为则是一 个攻击。威胁模型是一种针对目标软件进行威胁分析 图1威胁模型层次示意图 的技术，是软件安全工程中安全需求分析的重要基 础。论文提出一个用于描述软件系统安全威胁的威胁 被威胁对象是威胁所针对的目标，可以是整个软 树模型，并利用该模型，给出一个用于分析软件安全 件系统，也可以是具体软件系统的组成部分，甚至一 威胁的方法。通过威胁分析，得出软件系统整体的安 个具体的安全功能，这取决于威胁描述的粒度。威胁 全威胁轮廓，并作为安全需求分析的基础。 实体是威胁的来源，这是威胁模型的重要和关键部 分。威胁实体的属性包括动机、资源、风险容忍度、访 1威胁模型 问条件【11等，这些属性将影响一个实体可能产生的威 1．1威胁模型概述 胁强度、威胁目标以及实施威胁的方式。威胁目标是 通常，软件系统可能具有一个或多个脆弱性。脆 威胁实体试图达到的破坏软件安全性的效果类型。威 弱性提供一个毁坏系统、非授权访问资源以及导致意 胁目标的描述是针对软件安全属性及其子属性而划 外状态的途径。威胁是软件安全性可能被挫败的潜在 分的，主要包括欺骗标识、篡改数据等。 行为或事件。要实现一个威胁目标，通常必须深入研 威胁的描述可以采用树的形式。树的根节点是被 究并且探索相应的技术途径或实施方式，这种相应的 保护对象，第一层叶节点是该对象可能面对的威胁实 技术途径和实施方式则是攻击。 ’ 体类型，下一级节点可以是威胁实体的一些关键属 性，如访问条件。树的第三或第四节点是不同的威胁 威胁(Threat)是软件安全性可能被挫败的潜在行 为或事件。威胁并不一定存在必然性，它是具有或然 实体在不同访问条件下可能具备的威胁目标。一旦模 性的。威胁在软件保密安全性工程中的定位基本等同 型已经创建，将从各种角度使用建模功能来检查威 胁。威胁描述的一个例子如图2所示。 于软件可靠安全性中的危险