【STRIDE】【1】安全威胁分析设计

自2013年7月美国帅哥斯诺登披露棱镜门事件后,国内软件企业对安全的态度犹如一夜春风来,各种安全峰会、培训、交流等络绎不绝,阿里、360、微软、腾讯等安全人员也开始open起来。

试想作为一个软件企业如何做好安全呢?企业中的测试人员的重点都放在功能测试上,对安全考虑相对较少,研发丝们更不会去考虑安全,此时老板头大了。

腾讯、阿里的通常做法是一个安全大牛带着团队针对需求进行发散性思维,这样做的好处是员工可以充分讨论,安全能力能快速提升,缺点是要求员工的安全能力特别强。那么有没有一种方法让一般的IT开发人员也能做好安全呢?微软给我们做了一个榜样:据说在Windows XP操作系统开发时,他们把所有的工作都停下来,对员工进行了全面的安全培训,并把安全问题进行了整理归纳,梳理出一个开发人员也能完成安全设计的STRIDE威胁分析方法。

什么是STRIDE?

                说明                                                           举例
S Spoofing(仿冒)的缩写
随着智能终端的越来越普及,很多城市都开放了Wifi热点,比如周末陪女朋友去香港购物,女朋友去各大商场Shoping,我们这些研发丝们就可以找个咖啡馆使用免费的Wifi上网。

有没有想过你所使用的Wifi热点有可能并不是香港政府提供的,而是黑客们搭建的(仿冒Wifi),目的在你傻呵呵地使用免费的行动午餐进行购物时,读取你手机的支付宝账号和密码。

T Tampering(篡改)的缩写
尽管HTTPS或IPSec早已推出,但你会发现很多企业网站的访问依旧使用HTTP建立连接,众所周知HTTP连接并不安全,因为通过Sniffer工具可以嗅探到通信层的内容。

比如你和你的小女朋友都使用微信,你通过手机发的信息都会经过腾讯服务器然后再到达你女朋友的手机终端,同理你女朋友通过手机发的信息也会经过腾讯服务器再到达你的手机终端。试想你本打算约女朋友在深圳香蜜湖吃饭,但黑客在你发向腾讯服务器的过程中把内容截获并篡改,改为约请你女朋友在福田星河Cocopark吃饭,然后把篡改后的内容再发向腾讯服务器,可以想像你女朋友在Cocopark左顾右盼的场景,亲,你就等着分手吧。

R Repudiation(抵赖)的缩写
这个好理解,所谓抵赖就是赖皮,你明明查看了女朋友手机中的内容,被女朋友发现后,你却始终说没有查看,这个过程就是抵赖。

至于她会不会跟你分手,这就不是抵赖所负责的了,哈哈,所以两人相处关键就在于相信。

I Infromation Disclosure(信息泄露)的缩写
在篡改的举例中说到黑客截取了你约女朋友吃饭的信息,这个就属于信息泄露,只不过篡改在信息泄露的基础上对信息进一步进行了篡改;

另外,前段时间携程网暴露了用户的借记卡账号,本来属于携程网系统本身的信息,但由于打印日志没有做好权限管理,导致了携程用户的信息泄露。

D Denial of Service(拒绝服务)的缩写
好容易与女朋友谈的八字有一撇了,准备十月一回家见父母,那咱们研发丝们得上12306买个票吧, 正在兴奋地刷票时,突然发现12306网站上不去了,同时在线刷票的用户太多,导致12306系统崩溃了,也就是说12306拒绝服务了,我勒了个去,这个恋爱谈的好曲折。

E Elevation of Privilege(权限提升)的缩写
女朋友也谈上了,男人的财务要上交了吧,结果自己的银行借记卡及账号,以及女朋友本身的银行借记卡及账号都归她了,所以说做个好男人太难了。

突然有一天你女朋友哭着告诉你,你的银行借记卡和她的银行借记卡都被别人盗了,本来她只需要掌握她的银行借记卡就行,那么即使被盗也只损失她的,不至于把你的也损失掉,这个就是典型的权限提升。

女朋友的权限提升,从管理个人到管理两个人,一旦发生损失那就是两个人的损失。

今天够不走运的了,举了这么多女朋友的事,下一章节讨论如何使用Stride 

时间: 2024-10-10 14:34:32

【STRIDE】【1】安全威胁分析设计的相关文章

【STRIDE】【2】安全威胁分析设计

STRIDE威胁分析方法的核心是在数据流元素和威胁之间建立结构化的映射关系,非常适合工程化:这里提及威胁这个概念,让我想去年英国的安全专家花了约1.5h解释什么叫威胁.什么叫漏洞,这里把专家的说明转述一下: 1.脆弱点 脆弱点是一种系统缺陷,可以在安全开发的各个阶段引入,包括需求分析.需求设计.编码实现等阶段 2.漏洞 漏洞是一个或多个可以被利用的脆弱点,利用这些脆弱点,可能会导致系统被非法访问.服务中断,或者执行一些不正确的动作 3.威胁 威胁是对系统潜在的任何危险.是潜在的,有可能会发生,也

【STRIDE】【3】安全威胁分析设计

本文谈一下STRIDE数据流图的四个元素:外部实体.处理过程.存储.数据流 为了描述方便,以下图为例进行说明,该数据流图是"斗医"系统解析业务配置规则的一个功能,即客户端启动系统时会通过PwmLauncher调用到PwmBusinessUtil从XML文件中读取规则,然后把规则转换为PwmBusiness对象存储在PwmCache缓存中 这个数据流图比较简单,麻雀虽小但五脏俱全,其中: 对象 名称 描述 Client 外部实体 来自系统的外部,用长方形表示 PwmLauncher Pw

【STRIDE】【4】安全威胁分析设计

其实STRIDE威胁建模很简单(只有外部实体.处理过程.存储.数据流四个元素),难的是通过什么预防措施消除这些元素所面临的威胁,今天我们专门来谈谈外部实体(即下图中的Client) 外部实体一般面临仿冒(Spoofing)和抵赖(Repudiation)两种威胁. 1.仿冒: [概念]: 所谓仿冒就是攻击者冒充外部实体干坏事,例如在2G网络中,您使用手机接入运营商网络中进行上网:若攻击者克隆了您手机的SIM卡,冒充您接入运营商网络上网,免费使用您的流量. [攻击者仿冒外部实体的常用手段包括]:

自己动手设计并实现一个linux嵌入式UI框架(设计)

看了"自己动手设计并实现一个linux嵌入式UI框架"显然没有尽兴,因为还没有看到庐山真面目,那我今天继续,先来说说,我用到了哪些知识背景.如:C语言基础知识,尤其是指针.函数指针.内存分布,linux 基础知识.如消息队列.framebuffer.多线程.多线程同步.等,数据结构.算法(如链表.队列等),window .netframework 框架设计思想,设计模式如 mvc.观察者.单例.工厂等.知识点有点多,每个知识点有机的组合在一起,形成了一个知识网,构成了一个系统.以上提到

论文学习-系统评估卷积神经网络各项超参数设计的影响-Systematic evaluation of CNN advances on the ImageNet

写在前面 论文状态:Published in CVIU Volume 161 Issue C, August 2017 论文地址:https://arxiv.org/abs/1606.02228 github地址:https://github.com/ducha-aiki/caffenet-benchmark 在这篇文章中,作者在ImageNet上做了大量实验,对比卷积神经网络架构中各项超参数选择的影响,对如何优化网络性能很有启发意义,对比实验包括激活函数(sigmoid.ReLU.ELU.ma

Simple TPU的设计和性能评估

深度学习飞速发展过程中,人们发现原有的处理器无法满足神经网络这种特定的大量计算,大量的开始针对这一应用进行专用芯片的设计.谷歌的张量处理单元(Tensor Processing Unit,后文简称TPU)是完成较早,具有代表性的一类设计,TPU采用基于脉动阵列设计的矩阵计算加速单元,可以很好的加速神经网络的计算.本系列文章将利用公开的TPU V1相关资料,对其进行一定的简化.推测和修改,来实际编写一个简单版本的谷歌TPU,以更确切的了解TPU的优势和局限性. 动手写一个简单版的谷歌TPU系列目录

静态网页框架设计首次体验(文章改)

根据教材与上网成功解决了Tomcat与Myeclipse的安装,同时熟悉了Java web创建项目到部署运行整个过程.今天起正式开始学习有关Java web的编程部分.Java web静态网页(HTML网页)的标记含义.基本语法的介绍到框架设计基本模板与案例,今天的学习的内容,让网页编程有了一个初步的框架.结合自身所在协会的情况,计划制作一个关于协会的网页,已有初步想法,望通过学习不断完善和修改协会网站.根据今天所学,并参考书本30页框架设计案例对网页进行初步搭建. 具体代码如下 TW.jsp:

PYQT设计无边框窗体

#UI.py,通过UI设计师制作后直接转换为UI.py脚本 # -*- coding: utf-8 -*-from PyQt4 import QtCore, QtGui try:    _fromUtf8 = QtCore.QString.fromUtf8except AttributeError:    _fromUtf8 = lambda s: s class Ui_Form(object):    def setupUi(self, Form):        Form.setObject

Java精品高级课,架构课,java8新特性,P2P金融项目,程序设计,功能设计,数据库设计,第三方支付,web安全,视频教程

36套精品Java架构师,高并发,高性能,高可用,分布式,集群,电商,缓存,性能调优,设计模式,项目实战,P2P金融项目,大型分布式电商实战视频教程 视频课程包含: 高级Java架构师包含:Spring boot.Spring  cloud.Dubbo.Elasticsearch,Redis.ActiveMQ.Nginx.Mycat.Spring.MongoDB.ZeroMQ.Git.Nosql.Jvm.Mecached.Netty.Nio.Mina.java8新特性,P2P金融项目,程序设计,