转载

威胁建模杂谈

人不应该只顾着低头走路，还应该抬头看看天。这句话是什么意思，我自己的理解是一个人无论做什么事情，不仅要考虑自身情况，分析好待解决的问题和自身绝对和相对优势，更应该考虑外部相关的因素，考虑下趋势，市场，竞争和行业竞争力，然后找准自身的定位和发展规划，也就是战略和战术.

由于最近经济学的学位课都上完了，我自己今年一直在思考如何利用okr这个工具提高团队执行力和沟通效率，同时一直在思考我这5年在数字做沙箱的动机和原因究竟是什么，因此，机缘巧合，关注了很多抽象的概念和威胁模型，巧的是，安全和经济学分析的思考点很多基础是共性的，因此想按照自己的理解做些梳理。

安全架构解决的问题是什么？

安全是人与人的对抗，是攻与防的较量，实话说，这种假大空的理念在什么行业都不缺，然而你又没法反驳它们不对，这就是我国人民和象形文字聪明和高明的地方.

防守方由于信息不对称和关注的面广是没有攻击方有优势的，这个应该是近年来威胁情报，数据驱动安全，从攻的角度做防御的由来，因为面临的威胁复杂而多样化，多元化，传统的防御手段无法抵御新兴威胁，无法有效的应对外在风险，因此，在这里，假设威胁建模解决的问题是，随着物联网和信息技术的发展，企业应该如何构建合理的安全体系，从而能够降低公司资产和业务面临的风险，能让这个世界更美好更安全（who，when，what，how）

威胁模型思考的出发点

1.从资产和风险的角度

2.从系统和软件的角度

3.从攻击对手的目的和战术的角度

4.其它（呵呵送给自己）

威胁模型应用的场景

如果是漏洞管理，建议从资产和风险，系统和软件的角度思考，参考CISSP .SDL

如果做威胁hunting，建议从STIX，IACD，SOAP，ATT&CK

如果是做溯源与入侵分析，建议从钻石模型入手，考虑受害者，对手，对手能力，基础设施，之间的相互影响因素和移动关系.能力细分和各killchain 阶段事件建模和关联分析.

当然，最近还在思考这里面有没有一些共性的东西，能把相关的模型和概念整合起来，能够形成一些理论用来在业务需要创新的时候，能作为思考的工具！这个可以从卡巴和微软的架构图里看出来.做EDR和XDR的人如果能把图里的架构和实现细节都想清楚，就需要你理解并掌握上面各种威胁模型解决的问题和思考的出发点的融合.

至于产品和架构，其实看看下面几家公司分享的图吧，要是上面有什么不对的地方，看官们别急着喷我，真正看懂了在交流，或者说，真的在安全产品里实践过数据驱动，基于攻击的防御，killchain，和行为异常检测的，而不仅仅是为了得到B，在一堆无意义的假设下玩逻辑推导出A为了骗人民血汗钱的，抄RSA的ppt或者仅仅是翻译别人文档的，或者是只会看咨询公司发的魔力象限对标产品引领者的，口下留情.

威胁建模杂谈 卡巴斯基KATA

威胁建模杂谈 微软ATP

威胁建模杂谈

最后再放两个图：

威胁建模杂谈 微生物病毒与人类细胞

威胁建模杂谈

正反力量下，追求的不是完美，而是一种平衡。

职场人在企业里面临的无非是人和事，做事用人，用人做事，误解，抱怨，自我保护，山头主义，消极应对，还是尝试着去理解，积极，开发协作，团队意识，好奇心和激情，不断学习和空杯心态，需要你放慢脚步，权衡利弊，作出取舍，从误解走出来能寻求到理解的人，获得的是成长和涅槃，没有同理心和换位思考，或者用宫本武藏的剑道来说，人一旦过多的考虑自己的得失而不是将目标放在自身的修炼之道上，就不可能圆满，因为你改造世界的刀，变慢了. 毕竟君子有成人之美，君子也要先学会成人，长大才能成人.

最后放两张图：

威胁建模杂谈