STRIDE威胁模型

🔍 一、STRIDE核心威胁解析与架构影响

STRIDE模型将安全威胁归纳为六类，覆盖完整攻击面，是架构设计阶段威胁建模的核心工具：

威胁类型	破坏的安全属性	典型攻击场景	架构影响
假冒 (Spoofing)	认证真实性	伪造IP/MAC、伪装合法用户	身份体系被攻破，信任链崩塌
篡改 (Tampering)	数据完整性	修改数据库记录、劫持API请求	数据可信度丧失，业务逻辑被操控
抵赖 (Repudiation)	不可否认性	删除操作日志、否认交易行为	审计失效，责任追溯无法实现
信息泄露 (Information Disclosure)	数据保密性	配置错误暴露云存储、硬编码密钥	敏感数据扩散，合规风险爆发
拒绝服务 (Denial of Service)	服务可用性	DDoS洪水攻击、资源耗尽（CPU/内存）	业务中断，用户体验崩塌
权限提升 (Elevation of Privilege)	权限可控性	缓冲区溢出获取root、滥用SUID程序	系统完全失控，攻击者获得持久化权限

💡 架构师洞察：STRIDE威胁需在设计阶段介入（非运维期），修复成本可降低10倍。

---

🛡️ 二、纵深防御体系：STRIDE威胁的架构级应对

1. 假冒（Spoofing）防御方案

• 强身份认证链
  • 服务间认证：mTLS双向证书鉴权（如Istio服务网格）
  • 用户认证：FIDO2硬件密钥 + 基于风险的自适应MFA
• 凭证防泄漏设计
  • 密钥管理：HSM（硬件安全模块）托管主密钥，动态轮换周期≤90天
  • Token安全：JWT有效期≤10分钟，绑定客户端指纹（如Device ID+IP）

2. 篡改（Tampering）防御方案

• 数据完整性保护
  • 传输层：TLS 1.3 + HSTS强制加密
  • 存储层：敏感字段HMAC-SHA256签名（如支付宝交易报文）
• 运行时防护
  • 关键进程：代码签名 + 内存校验（如Windows Defender Credential Guard）
  • API安全：WAF语义分析拦截参数篡改（正则+AI双引擎）

3. 抵赖（Repudiation）防御方案

• 不可抵赖证据链
  • 日志审计：结构化日志（JSON格式） + ELK实时分析，关键操作关联UserID/IP
  • 区块链存证：交易哈希上链（如Hyperledger Fabric），司法举证可用
• 双人复核机制
  • 高危操作：审批工作流（如银行大额转账需二次确认）

4. 信息泄露（Information Disclosure）防御方案

• 分层加密体系

  层级	技术措施	案例
  传输层	TLS 1.3 + 证书绑定	移动端防流量嗅探
  存储层	AES-256加密，密钥由KMS管理	AWS S3默认加密
  使用层	动态脱敏（如客服仅见信用卡末四位）	GDPR合规场景

• 零信任数据访问
  • 策略引擎：OpenPolicyAgent实现ABAC（属性基访问控制），按需授权

5. 拒绝服务（DoS）防御方案

• 弹性防护架构
  • 关键组件：
    • 流量清洗：Cloudflare/阿里云DDoS高防，识别恶意Bot
    • 资源隔离：Kubernetes Namespace配额限制，单服务故障隔离

6. 权限提升（EoP）防御方案

• 最小权限实践
  • 进程权限：非root用户运行容器（如Docker --user 1000）
  • 硬件隔离：特斯拉车联网的“娱乐域-控制域”物理隔离
• 权限动态管控
  • JIT(Just-In-Time)权限：临时提升权限（如Vault临时Token）
  • 定期审计：自动化扫描IAM策略（如AWS IAM Access Analyzer）

---

⚙️ 三、STRIDE在系统开发生命周期中的实施框架

1. 威胁建模四步法

1. 系统建模
   • 绘制DFD（数据流图），标注外部实体、进程、数据存储、信任边界
2. 威胁识别
   • 为DFD元素标注STRIDE威胁（如数据库存储→面临篡改/信息泄露）
3. 缓解设计
   • 调用预置措施库（如篡改威胁→启用HMAC校验）
4. 验证优化
   • 通过DREAD模型量化风险优先级（评分≥7分需立即处理）

2. 工具链集成

工具	适用场景	自动化价值
Microsoft Threat Modeling Tool	Windows生态应用	自动生成DFD+STRIDE映射
IriusRisk	DevSecOps流水线	集成CI/CD，自动生成防护代码
OWASP Threat Dragon	跨平台Web应用	支持DREAD评分与ATT&CK映射

---

🔄 四、STRIDE与其他安全框架的协同

1. 与MITRE ATT&CK的战术融合

• 策略-战术分层防御：
  • STRIDE定位风险域（如“权限提升”对应架构缺陷） → ATT&CK提供具体检测方案（如监控T1055进程注入）
• 映射矩阵示例：

  STRIDE威胁	ATT&CK战术	检测技术
  信息泄露	数据渗出(T1029)	网络DLP+UEBA异常行为分析
  拒绝服务	资源劫持(T1499)	云监控API调用频率突增告警

2. 与OWASP Top 10的互补

• 交叉防护重点：
  • STRIDE中“篡改” ≈ OWASP A1注入/A2访问控制
  • STRIDE中“信息泄露” ≈ OWASP A3敏感数据暴露
  • 组合应用可覆盖从设计到代码层的全链路风险

---

架构师行动清单

1. 设计阶段：强制所有新系统设计包含DFD图与STRIDE威胁标注
2. 技术选型：
   • 认证层：集成FIDO2或Passkey无密码方案
   • 数据层：启用TDE透明加密 + KMS密钥轮换
3. 运维管控：
   • 每月执行DREAD威胁评分，优先处理≥7分项
   • 关键系统每年红蓝对抗，重点测试权限提升链