大家读完觉得有帮助记得关注和点赞摘要成熟的威胁建模方法体系STRIDE、PASTA、Trike、OCTAVE、LINDDUN、攻击树以及MITRE ATTCK等对手行为目录是为具备清晰安全边界、单一所属组织和严格技术/运营风险分离的软件产品与企业设计的。现代组织日益违背这三项假设它们在自身不拥有的云和SaaS控制平面上运行将特权权限分散给创始人、承包商、供应商、签名者、委员会和自动化系统并通过人工审批仪式和供应链环节暴露价值而非依赖网络边界。在此类环境中主要的失效模式是已授权但恶意的参与者、名义上独立各方之间的合谋、控制平面与CI/CD被攻陷以及高价值操作的运营处置不当。现有方法要么忽略这些类别要么将其置于范围之外。我们提出TRACE——一种威胁建模方法它将威胁参与者、角色、资产、关键不变式以及信任/权限边视为一等公民并通过证据链相互连接且明确涵盖三个层面协议、系统和组织。我们首先在十个维度上对九种广泛使用的威胁建模与对手分析框架进行了结构化比较随后刻画了每种方法在分布式、云优先、零信任环境中的短板。接着我们详述了TRACE其核心模型、三大应用支柱、顺序门控工作流以及一种支持人机协作的证据与可追溯性规范——在此规范下大语言模型加速信息提取与覆盖度分析而资深评审员保留对不变式、严重程度和合谋风险的判断权。TRACE源于Web3安全实践其中高价值资产、分布式权限与人类操作紧密耦合但它与具体技术栈无关。我们讨论了其与零信任架构和问责拜占庭共识的关系、其局限性以及围绕实证验证的开放性问题。关键词威胁建模STRIDEPASTA攻击树零信任供应链安全内部威胁合谋Web3人机协作。1 引言威胁建模是一门在发生实证性故障之前推理系统必须保护什么、谁能影响它以及它可能如何失效的学科。其价值在早期最高因为此时设计和运营假设仍易于调整[23]。三十年来该领域产生了大量工具用于结构化威胁发掘的STRIDE[13, 16]、用于目标导向分解的攻击树[21]、以风险和业务为中心的PASTA[26]、面向组织风险的OCTAVE[2, 3]、关注隐私的LINDDUN[8]以及对手行为知识库如网络杀伤链[11]和MITRE ATTCK[25]。软件工程研究所的调查对这些及其他方法进行了编目[22]。几乎所有这些方法都隐含或明确地继承了它们成熟年代的三项假设存在边界。有内部和外部之分主要对手是外部的信任可以在边界处授予。单一所属组织。一家企业拥有资产、基础设施和操作人员风险清晰地分解为“系统”和“公司”。授权即安全。如果每个权限检查都通过系统就在正确运行威胁是那些未获授权的参与者。现代运营环境打破了所有这三项假设。组织在它们不拥有且无法完全检查的云IaaS、SaaS和身份提供商上运行NIST的零信任架构指南[19]和CISA的成熟度模型[7]之所以存在正是因为边界已不再描述现实。特权权限分散在创始人、远程员工、承包商、供应商、托管服务提供商、多签签名者、治理委员会和自动化流水线中这些实体常跨越多个法律主体。近期最具破坏性的事件并非未授权访问漏洞而是已授权路径的失效被攻陷的构建流水线推送了带签名的更新[27]、签名者因界面被篡改而受骗批准恶意交易[10]或特权角色在其正式权限内行事。内部威胁和供应链向量如今在入侵事件中占比巨大且持续增长[28]而在高价值的去中心化系统中运营和人为因素导致的失陷超过了纯协议漏洞[4]。本文做出三项贡献结构化比较第2节在十个维度上对比九种广泛使用的威胁建模与对手分析框架区分各自所长与结构性缺失。差距分析第3节将这些缺失定位在分布式、云优先、零信任的环境中不变式、分布式权限、合谋、控制平面与供应链环节以及人类/运营失效。TRACE方法体系第4-5节其核心模型、三大应用支柱、顺序门控工作流以及一种使人机协作安全且可评审的证据与可追溯性规范。TRACE并不取代STRIDE、攻击树或零信任实施工作它是对它们的编排。它重用STRIDE进行发掘重用攻击树进行深入分析但它改变了模型的基元使得不变式、分布式权限和合谋面成为分析师必须命名并关联到证据的对象。2 背景威胁建模框架的比较综述我们总结了实践中最常用的几种方法按其主导分析立场分组然后在十个维度上进行比较。2.1 以系统与软件为中心的信息发掘STRIDE。由Kohnfelder和Garg在微软提出[13]后来嵌入安全开发生命周期[17, 23]。STRIDE是一个助记分类法假冒Spoofing、篡改Tampering、抵赖Repudiation、信息泄露Information disclosure、拒绝服务Denial of service和权限提升Elevation of privilege。每个类别对应一种期望属性的违反认证、完整性、不可抵赖性、机密性、可用性、授权。该方法通常应用于数据流图DFD采用“每元素STRIDE”或“每交互STRIDE”变体。其优势在于对传统组件的覆盖完整性和低采用成本。其弱点已有充分记载在非平凡DFD上会出现威胁爆炸依赖图表质量没有原生风险评级配套的DREAD评级因主观性已被弃用且其属性分类法未说明参与者是谁或操作是否被授权。Trike。Trike[20]是一种基于风险、需求驱动的方法围绕参与者-资产-动作矩阵和明确的接受风险模型构建。它根据CRUD风格的权限矩阵自动推导威胁限于权限提升和拒绝服务。它引入了对“谁被允许做什么”的有用严谨性但依赖工具维护有限且仍局限于应用范围。LINDDUN。LINDDUN[8]在隐私领域镜像了STRIDE的结构关联性Linkability、可识别性Identifiability、不可抵赖性Non-repudiation、可检测性Detectability、信息泄露Disclosure of information、不知情性Unawareness和不合规Non-compliance。它的存在印证了促使TRACE诞生的普遍观点当威胁模型的分类法与风险领域相匹配时其力量最强。在LINDDUN中是分类法而非图表绘制承担了分析工作。2.2 以风险与攻击者为中心的过程方法PASTA。攻击模拟与威胁分析流程[26]是一个七阶段、以风险为中心的方法论1定义业务目标2定义技术范围3分解应用4分析威胁5分析漏洞与弱点6建模攻击7分析风险与影响。PASTA的优势在于将技术威胁与业务影响明确关联并包含攻击者模拟步骤。其代价是繁重重量级、需要专业知识且面向应用或产品而非跨组织的控制结构。攻击树。由Schneier推广[21]攻击树是将攻击者目标分解为子目标和叶节点的AND/OR分解可选标注成本、可行性或概率。它是一种深度工具而非发现工具它回答“如何实现目标G”但前提是分析师已经识别出G。TRACE正是以此互补角色使用它们。2.3 以组织与资产为中心的方法OCTAVE / OCTAVE Allegro。OCTAVE[2]及其精简版OCTAVE Allegro[3]是SEI提出的以资产和组织的为中心的风险评估框架。它们从组织关键的信息资产及其容器出发并明确吸纳运营人员参与而非仅限架构师。这是最接近TRACE组织支柱的现有方法。其在当前环境下的局限性在于它以信息资产为导向不太适合价值、密钥和权限资产依赖研讨会且未设计为与技术攻击分解或分布式权限分析集成。VAST。可视化、敏捷和简化的威胁方法体现在ThreatModeler工具中[1]通过区分应用威胁模型过程流图和运营威胁模型并与CI/CD集成以实现企业级可扩展性。其对规模和自动化的重视具有参考价值但它是一种商业工具化方案而非开放的方法论且未引入不变式、合谋或分布式权限基元。混合与人为因素方法。SEI的混合威胁建模方法hTMM[15]结合安全卡片[9]和“不受欢迎的人物”Persona non Grata[6]与SQUARE以平衡覆盖率和误报率。安全卡片和PnG特别推动分析师推理对手原型、动机和人类影响这是STRIDE缺失的维度。但这些仍属于头脑风暴辅助工具而非完整的结构化流程。2.4 对手行为知识库网络杀伤链与MITRE ATTCK。洛克希德·马丁的网络杀伤链[11]将入侵建模为有序的阶段序列从侦察到目标达成。MITRE ATTCK[25]是一个丰富得多的、基于实证的对手战术、技术和程序TTP知识库。两者都不是设计时的威胁建模方法它们是部署后的、威胁知情防御和检测工程工具。它们描述的是已知对手如何对已部署的系统进行操作而非特定系统必须保护什么或其假设哪里不自洽。2.5 标准背景补充说明NIST SP 800-30[12]构建了风险评估框架SP 800-154[24]提出了以数据为中心的系统威胁建模SP 800-207[19]规范了零信任架构OWASP[18]概括了通用的四问循环“我们在构建什么、可能出什么问题、我们将怎么做、我们做得好吗”。这些都是参考框架而非竞争方法论TRACE特别将自己定位为零信任的关联项第4.2节。2.6 比较表1在十个维度上比较了上述方法这些维度选定为暴露分布式、云优先环境的特点。模式是一致的每种方法在其起源领域都很强但在其他领域结构性地沉默。没有任何现有方法同时将不变式、分布式权限、合谋、控制平面/供应链环节以及人类/运营风险作为一等公民处理。表1威胁建模与对手分析方法在十个维度上的对比。​∙ 一等公民/原生支持∘ 部分或临时支持– 未涉及。维度说明Pers. 主导视角Sys系统/资产Att攻击者Org组织Adv对手行为Rank 原生风险评级Inv 关键不变式作为对象Auth 分布式/特权权限Coll 合谋与协调Supply CI/CD与供应链环节Cloud 云/SaaS控制平面与零信任适配Human 人类/运营失效Trace 证据可追溯性AI 原生支持人机协作。方法Pers.RankInvAuthCollSupplyCloudHumanTraceAISTRIDESys––––∘∘–∘–TrikeSys∙–∘––––∘–LINDDUNSys∘––––––∘–PASTAAtt∙∘∘–∘∘∘∘–攻击树Att∘–∘∘∘∘∘––OCTAVE (Allegro)Org∙∘∘–––∙∘–VASTSys∘–––∘∘–∘–hTMM / PnGAdv∘–∘∘––∘––杀伤链 / ATTCKAdv∘–––∘∘–∘–TRACE​SysOrgAtt​∙​∙​∙​∙​∙​∙​∙​∙​∙​3 现有方法在分布式、云优先环境中的短板以下不足并非所调研方法在其设计范围内的缺陷而是将边界与产品假设应用于不再满足这些假设的环境所导致的后果。3.1 边界已消解于环节之中基于DFD的STRIDE等方法假定信任是在可信与不可信区域之间的边界处授予的。在云优先组织中不存在单一边界存在许多环节价值、控制、数据或权限在这些环节上跨越身份提供商与云账户、CI作业与生产部署、供应商与内部系统、签名者与审批流程。零信任[19]的存在是因为每次跨越都必须按请求进行评估。现有方法可以在图表上标注边界但它们不将环节作为分析单元也不在每次跨越时系统地提出零信任问题“如果此请求的源头已被攻陷怎么办”。3.2 授权被建模了权限却没有STRIDE的权限提升类别和Trike的权限矩阵询问的是参与者能否执行其不被允许的操作。它们对一个被允许却行事有害的参与者——恶意或被攻陷的管理员、部署者、签名者或治理代表——基本保持沉默。在分布式组织中这是主导性风险一个完全在其正式权限内运作的特权角色可以抽干价值、发布后门版本或劫持治理。分析师不仅需要问“此操作能否成功”还需要问“此参与者能造成什么后果”。权限区别于授权在任何调研方法中都不是一等公民。3.3 合谋与协调超出范围没有主流威胁建模方法对参与者组合进行建模。然而多签法定人数、治理委员会、验证者集、供应商关系和审批仪式都是在协调行为而非单一参与者行为下失效的。相关问题k/n个签名者能否合谋两个“独立”供应商真的独立吗委员会法定人数能否被缓慢捕获是分布式系统理论拜占庭容错[14]、问责共识[5]的主题却缺席于威胁建模工具箱。孤立地对待每个参与者会系统性低估任何将安全性寄托于阈值或职责分离的系统的风险。3.4 供应链与控制平面就是攻击面近期影响最大的失效针对的是构建和部署控制平面而非运行中的应用被攻陷的软件更新流水线[27]、包仓库和依赖项被攻陷、CI密钥外泄以及将云配置失误转化为生产控制的IAM错误配置。STRIDE和PASTA可以被拉伸以覆盖这些但它们并不原生地将CI/CD到部署的权限、构件完整性或第三方控制平面作为核心对象建模。ATTCK描述性地编目了此类技术但未提供对特定组织构建与发布权限图的设计时模型。3.5 人类与运营现实被视为背景OCTAVE和人为因素方法安全卡片、PnG最接近它们吸纳人员参与但它们并未将人类和程序性失效在一个模型中回溯连接到技术资产和不变式。与此同时去中心化、远程优先的组织经常将灾难性权限集中在少数极高特权个体手中。笔记本被攻陷、审批仪式不明确、仓促的事件响应、欺骗性的签名界面[10]或账户恢复路径可能与任何代码漏洞一样具有决定性。一种只建模软件却不建模围绕其运营的行为的方法会给出虚假的覆盖感。3.6 不变式从未被命名综上所述现有方法列举威胁通用属性的违反但很少强迫分析师陈述系统必须保持的具体不变式偿付能力、职责分离、审批完整性、权限边界、部署完整性、恢复能力。没有明确不变式威胁评级就没有锚点严重性变成了一个组件看起来有多技术性或多新的函数而不是它会破坏什么。不变式是资产和威胁之间缺失的语义层。3.7 方法早于人机协作时代最后所有调研的方法都是在大型语言模型能够可信地摄取异构源语料并起草模型对象、STRIDE候选和攻击树分支之前制定的。若幼稚地使用LLM会放大上述失效模式它产生通用的边界时代威胁清单、看似合理却无支撑的架构假设以及结构上优雅但在运营上不切实际的攻击树。现有方法均未提供一种规范以便在保留专家判断和证据可追溯性的前提下整合此类辅助。4 TRACE方法体系TRACE是一种威胁建模方法它将异构源材料转化为资产、角色、不变式、信任边界、价值流、权限路径和失效路径的结构化、证据关联的模型然后据此推导出分级威胁、攻击树、合谋分析和优先级缓解路线图。它是证据驱动的每一个实质性威胁都应可追溯到一个源、一个模型对象、一个假设、一个边界或一条攻击路径。它诞生于Oak Security的Web3安全实践在那里高价值资产、分布式权限、治理、链下基础设施和人类操作紧密耦合从而集中暴露了第3节的缺口。该方法与具体技术栈无关适用于任何具有碎片化控制路径、云与SaaS依赖链、关键人类审批、外部操作系统且无清晰边界的组织。4.1 核心模型TRACE将五类对象设为一等公民。其缩写命名如下威胁参与者Threat actors。有能力、动机或权限影响目标的参与者外部攻击者、内部人员、供应商、承包商、服务提供商、管理员、代表、被攻陷的用户、经济对手、治理参与者。角色Roles。目标内部的特权或运营职位创始人、高管、签名者、维护者、部署者、管理员、操作员、响应者、服务所有者。角色定位权限。资产Assets。必须保护的价值、控制、数据、权限或连续性资金、密钥、凭证、生产控制、客户数据、正常运行时间、品牌信任、源代码、治理权。关键不变式Critical invariants。必须保持为真的属性职责分离、审批完整性、数据完整性、财务正确性/偿付能力、权限边界、部署完整性、恢复能力。不变式是评级的锚点。边Edges。信任、价值、数据或控制跨越域的地方信任边界、价值流、签名者路径、API边界、管理路径、CI/CD到部署、身份提供商到云端。边是零信任分析的单元。TRACE将权限位于角色上跨边行使与授权每次动作的权限检查分离并将不变式视为从资产到威胁的语义桥梁。这两个设计选择直接解决了第3节§3.2和§3.6的缺口。图1展示了从证据到路线图的流程。源材料与证据 ↓ TRACE 模型 ┌─────────────┐ │ 威胁参与者 │ │ 角色 │ │ 资产 │ │ 关键不变式 │ │ 边 │ └─────────────┘ ↓ 威胁识别 (STRIDE) ↓ 攻击树 ↓ 合谋分析 ↓ 缓解路线图图1TRACE流水线异构证据被浓缩为五类一等公民对象的结构化模型驱动STRIDE发掘、针对顶级威胁的攻击树、可选的合谋检查以及缓解路线图。每个下游工件都链接回模型对象和源证据。4.2 三大支柱相同的核心方法应用于三个层面调整输入材料和模型侧重点。失效经常跨层面发生因此完整的评估需使用全部三个层面。TRACE for 协议设计阶段。协议是任何管理价值、权限、访问、协调或关键行为的正式或半正式规则系统Web3中的智能合约系统、验证者网络或治理流程更广泛组织中的审批协议、访问策略、AI代理控制政策或财务流程。输入是指定文档、白皮书、机制和政策描述、经济模型、治理提案以及可用的代码。模型强调资产、不变式、特权协议角色、治理和审批权限、价值/权限流、外部依赖以及合谋/法定人数/委托/共识假设。产出包括设计级威胁模型、不变式地图、治理和特权角色风险分析、按组件或流的STRIDE目录、针对突出威胁的攻击树以及相关的合谋/共识面分析。TRACE for 系统架构与基础设施。输入是系统图、架构和部署文档、云账户和IAM结构、身份提供商和SaaS配置、CI/CD流、基础设施即代码、依赖项和包仓库信息以及日志/告警/事件手册。模型强调内部、云、SaaS、供应商和公共系统之间的信任边界构建/部署/发布权限基础设施控制平面特权凭证和密钥路径前端/API/数据完整性运营自动化以及依赖/供应链暴露。此支柱与零信任架构[19, 7]直接结合每个TRACE边都成为一个零信任问题。谁或什么在跨越断言了什么身份什么设备或工作负载什么资源什么动作什么上下文改变了风险如果源头已被攻陷会发生什么产出包括信任边界清单、关键访问路径的零信任缺口图、CI/CD和供应链风险图以及基础设施攻击树。TRACE for 组织运营安全。输入是发现研讨会、访谈、访问审查、设备和账户清单、托管、签名和审批流程、事件响应计划、供应商和承包商关系、差旅和物理安全假设以及观察到的团队实践。模型强调人类对资产和不变式的权限、特权个人、团体和供应商、账户恢复和访问恢复路径、审批工作流和例外路径、事件协调以及社会/程序性失效模式。产出包括运营威胁模型、人类与流程风险登记册、托管/审批风险分析、事件就绪评估、供应商和访问风险图以及30/60/90天运营加固路线图。4.3 工作流与审批门TRACE被刻意设计为顺序性的。每个阶段产生一个可评审的工件作为下一阶段的输入显式的人类审批门防止薄弱假设累积成威胁评级、攻击树或建议。范围与源清单。定义评估边界和生命周期阶段收集证据记录假设、排除项和造成不确定性的缺失源。门禁资深评审员批准范围和已知缺口。摄取源材料。提取候选组件、参与者、角色、资产、不变式、依赖项、边界和流。构建TRACE模型。构建五个对象集记录证据和假设任何未绑定到源的对象标记为推断假设。门禁资深评审员在威胁展开前批准并补充模型。STRIDE识别与评级。在组件、流、角色和边上应用STRIDE根据对资产和不变式的影响、可行性、激励兼容性、现有缓解措施、波及半径、时间敏感性和模型置信度进行评级。门禁评审员批准威胁集和评级。构建攻击树。将顶级威胁从目标分解到启用条件将每个根映射到分级威胁将每个叶节点映射到启用假设或具体事实并映射到候选缓解措施。门禁攻击树在合理性和缺失分支方面获得批准。检查合谋与协调面。在参与者组可以协调的地方委员会、多签、验证者、供应商、操作员检查参与者组合、法定人数/阈值假设、激励对齐、治理捕获路径以及名义上独立各方之间的运营依赖。门禁评审员验证哪些协调路径是可信的。产出路线图与报告。执行摘要、模型、分级威胁、攻击树、合谋发现、缓解路线图和标记的开放性问题。门禁建议按严重性、可行性和顺序获得批准。5 原生的人机协作TRACE是为人机协作而构建的而非用于自主威胁建模。大语言模型是高效的加速器可用于阅读大型异构源集、提取候选模型对象、检查覆盖率、提议STRIDE候选、起草攻击树分支以及维护证据、模型对象、威胁和建议之间的可追溯性。它们在判断力最关键的地方恰恰是不可靠的定义关键不变式、校准严重性以及决定哪些合谋路径是可信的。因此该方法将AI输出视为候选分析直到经过评审并执行证据与可追溯性规范模型对象必须链接回源或明确标记为推断。STRIDE威胁必须链接到组件、流、角色或边。攻击树的根必须链接到分级威胁叶节点必须链接到启用假设或具体事实。建议必须链接到威胁、攻击树叶节点、资产、不变式或信任边界。任何无法追溯的主张都会被移除改写为假设或记录为开放性问题。第4节的顺序门禁旨在捕捉典型的AI失效模式基于不完整源的过度自信主张、看似合理却无支撑的架构假设、通用的边界时代威胁清单、将正式权限与运营安全混为一谈、忽略人类/供应商/签名者的现实以及结构优雅但不切实际的攻击树。AI输出绝不直接用于最终不变式定义、最终严重性评级、合谋或治理捕获结论、可利用性主张或最终建议。6 讨论与现有方法的关系。TRACE并不抛弃工具箱而是重置其基点。STRIDE仍是发掘引擎第4步攻击树仍是深度工具第5步PASTA/OWASP为更广泛的风险循环提供信息。零信任[19, 7]提供了每边评估规范拜占庭/问责共识理论[14, 5]为合谋检查提供信息。TRACE的贡献在于一套一等公民基元不变式、承载权限的角色、边和合谋面连同连接它们的证据关联、门控工作流这使得旧工具能在无边界、多方控制结构上运行。TRACE的适用场景。TRACE是一个建模层不是实施审计、合规评估或零信任实施的替代品。它在审计前以浮现评审员应关注的设和运营假设、发布前以定位风险集中点代码、基础设施、治理、密钥管理、身份、供应商或运营以及运营期间随着团队、供应商和集成的演变重新审视假设最为有用。局限性。目前TRACE是一种通过专业实践验证而非受控实证研究验证的方法论。相对于快速的STRIDE流程其一等公民对象集增加了建模开销且合谋和组织支柱依赖于对人员和流程的访问而这些可能不可用或被歪曲。模型质量受限于源质量推断假设机制缓解了但并未消除这一点。严重性评级虽然锚定于不变式但仍依赖于专家判断且在不同分析师间不能完全复现。人机规范减少了但不能完全排除评审门处的自动化偏见。未来工作。三个方向随之而来。首先实证评估分析师之间对不变式和评级的一致性以及TRACE与仅使用STRIDE的基线在覆盖已授权路径和合谋威胁方面的比较。其次形式化用机器可检查的模式表达不变式和边以便自动验证可追溯性约束。第三与问责共识和机制设计结果更紧密结合以便能够定量而非定性地推理合谋阈值。7 结论现有的威胁建模框架在其设计初衷的假设内仍然有价值即存在边界、单一所属组织且授权等同于安全。分布式、云优先的组织不满足其中任何一项。此类环境中的主导性失效已授权参与者行事有害、名义上独立各方合谋、控制平面和供应链被攻陷、高价值操作运营处置不当恰处于既有方法的结构性盲区。TRACE通过以下方式解决这些问题将威胁参与者、角色、资产、关键不变式和边提升为证据关联的一等公民对象将权限与授权分离将不变式作为评级锚点在一个模型中涵盖协议、系统和组织并嵌入一门控的人机工作流在加速覆盖的同时不让渡判断权。该框架源于Web3安全实践这些压力最为集中但其解决的问题现已具有普遍性。方法规范依据CC BY 4.0开放发布。