前沿思虑 | 5G时期 ，网络安全威胁建模的“路”与“术”
颁布功夫 2020-12-10威胁建模作为5G时期网络安全实际的起点 ，与传统的威胁建模有何异同 ？一路来看宝运莱官方网站专家团专家们若何解读其中的“路”与“术”。
当前 ，我们正处于数字经济转型和不休升级的时期 ，5G成为万物互联的纽带和融合创新的驱动力 ，5G网络的这些特点和业务属性决定了其安全的必要性和沉要性 ，网络安全威胁建模是进行网络安全最佳实际的起点和沉要环节。本文一方面介绍了业界成熟的威胁建模步骤的6个步骤 ，另一方面论述了若何将此步骤利用于5G网络威胁建模的具体实际。
5G网络安全 ，是我们共同面对的全球性问题
5G网络选取基于服务的架构SBA ，基于云原生（Cloud Native）、用户平面和节造平面解耦 ，拥有云化、软件界说、可编程和服务能力盛开的特点。5G网络在造福社会、撬动社会刷新的同时 ，也引发了新的网络安全风险 ，5G 网络安全成为我们共同面对的全球性问题。
网络安全建设的第一步就是必要明确其面对的威胁微风险 ，而威胁建模是鉴别和梳理威胁的成熟做法。因而 ，必要利用威胁建模的步骤和工具 ，缜密结合5G网络新业务、新架构、新技术和丰硕的场景 ，全面地进行5G网络安全威胁建模工作 ，具体地梳理威胁 ，齐全地展示5G网络所面对的威胁面和入侵面。
业界成熟的STRIDE-LM威胁建模步骤
威胁建模是对网络入侵者采取自动积极防御的一项工程步骤 ，是网络安全最佳实际工作的起点和关键阶段。威胁建模让安全专家站在入侵者角度思虑问题 ，并更好地相识若何接见网络和系统 ，使我们能够明显地预感其粉碎面 ，并绘造出系统可能蕴含的分歧威胁、入侵、缝隙和对策 ，从而采取积极防御、自动防护、有理有据的风险治理战术。
微软开发的STRIDE模型思考了多种威胁类型的影响 ，在分析活动中 ，结合威胁谍报、资产、入侵面等多种成分 ，综合思考各类威胁及其原因和了局。为了可能更全面地发现并描述威胁和入侵指标的原因、蹊径和了局 ，必要分析入侵链的高低文。这里增长一种附加的威胁类型：横向移动（lateral Movement, LM）形成STRIDE-LM模型。STRIDE-LM威胁建模步骤是一个不休迭代不休循环的动态步骤 ，主题流程蕴含如下6个步骤 ，一是鉴别资产 ，二是鉴别威胁参加者或威胁成分 ，三是分化系统界说入侵面 ，四是威胁行为分类 ，五是威胁评估和评价 ，六是威胁节造措施。如图所示：
威胁建模步骤论（Threat Modeling Methodology）
1、鉴别资产 ，梳理资产台账 ，明确威胁对象和�；ざ韵�
信息资产作为对组织拥有价值的信息或资源 ，是安全战术�；さ亩韵� ，必要梳理明显 ，纪录资产类型 ，形成资产台账 ，并指定这些资产在系统或环境中地位 ，并且随着业务利用的变动而动态更新。针对所鉴别出的资产 ，成立对于入侵行为的初步意识。
2、列出威胁成分
确定要入侵该系统的实体以及原因 ，蕴含动机、技术水平、资源和指标等特点 ，并将这些成分逐一列出。结合威胁谍报 ，思考分歧的威胁参加者类型将若何粉碎指标资产。
3、分化系统 ，界说入侵面
成立了业务架构和技术架构的全貌之后 ，梳理业务逻辑、服务对象、天堑 ，并基于所网络的信息将利用法式、系统、环境、组件分化为分层视图。在整体视图上映射与之通讯的利用法式、系统等元素 ，而后界说入侵面。入侵面将援手界说系统和信赖天堑 ，输出文档化的入侵面界说 ，利用文档化的入侵面和分化的系统以及重要用例来纪录入侵蹊径 ，捕获这些蹊径中蕴含的职能组件、信赖域和信赖天堑 ，蕴含现有的安全节造和服务。同时思考一样蹊径上可能存在的多种入侵步骤 ，这些蹊径蕴含物理蹊径和逻辑蹊径。在这个阶段 ，通�；崽焐萘鞒掏迹―ata Flow Diagram）或一组DFD。
4、威胁行为分类 ，使用适合于系统和组织的分类法对威胁进行分类。
对威胁进行分析和分类 ，确保充分理解每种威胁的原因。
凭据资产性、威胁产生的可能性 ，结合威胁谍报等成分对威胁所带来的风险严沉性进行评估、比力 ，确定优先级排序。
5、威胁节造措施
威胁建模的最后一个阶段是选择和执行安全节造措施 ，以缓解、解除或节造在软件开发或工程工作中发现的威胁 ，并评估现有节造措施的有效性。威胁节造措施的选择和执行成效评估的节造职能蕴含网络、检测、防护、治理和响应5个环节 ，将这5个环节的工作进行迭代和循环使用 ，直到可能接受残存风险。
最后 ，通过考量人员、流程和技术多个维度差距来执行威胁节造措施 ，同时对这些差距的鉴别能够加强对潜在风险项主张意识与理解 ，从而转化为全面风险治理的源动力。
基于STRIDE-LM的5G网络安全威胁建模
遵循STRIDE-LM威胁建模步骤论6大阶段的关键作为对5G网络执行威胁建模 ，下面进行具体地论述。
1、鉴别资产
资产是对组织拥有价值的信息或资源 ，是安全战术�；さ亩韵�。除了对组织有价值之表 ，资产还有助于推广司法使命。在5G网络中 ，资产蕴含但不限于如下几种：
a）硬件 ，软件和通讯组件
b）通讯链接
c）节造系统职能 ，由系统产生和/或使用或在系统内部流动的数据
d）5G系统的物理基础架构
e）与系统交互并可能影响其操作的人员（例如 ，用户 ，系统治理员等）
由于其价值 ，数字资产成为威胁行为者的指标 ，5G资产分为两大类：
鉴别资产（Identity Assets）
2、鉴别威胁成分
威胁能够通过威胁主体、资源、动机、蹊径等多种属性来描述 ，造成威胁的成分可分为报答成分和环境成分。威胁作用大局可所以对信息系统直接或间接的入侵 ，可能是偶发的或蓄意的事务 ，对机密性、齐全性或可用性等方面造成侵害。
5G网络的威胁参加者分为两大类：
威胁参加者（Threat Vectors）
5G网络面对的威胁是4G网络威胁和5G自身新威胁的累加。
5G网络威胁（5G Cyber Threats）
3、界说入侵面
5G网络的露出领域会随着所承载的垂直行业的变动而越来越大 ，关键资产的数量因新业务而激增 ，入侵面也会因而变的动态而扩大。
分化5G网络结构 ，将入侵面梳理明显就变得尤为沉要�；�5G网络结构整体视图 ，绘造用例或用例集的数据流程图DFD ，同时 ，结合威胁和威胁谍报逐步得到5G网络的入侵面。
5GDFD和入侵面（5G DFD and Attack Surfaces）
4、威胁分类
这里以STRIDE-LM模型作为威胁行为分类的凭据 ，具体如下表所示。
表.1-威胁 ，安全属性和节造措施（Tab.1-Threat Categorization, Security Properties）
凭据表1 ，能够梳理出5G网络威胁分类的齐全列表 ，样例如表2所述：
表.2-5G威胁威胁分类 ，安全属性（Tab.2-5G Threat Categorization, Security Properties）
5、威胁评估和评价
凭据威胁造成的危险对其进行评价 ，这样就可能优先解决最大的威胁 ，其次再解决其它威胁。现实上 ，解决所有找出的威胁险些是不成能的也不用要 ，关键是要有决策凭据而忽略掉一些 ，由于它们产生的机遇很幼 ，即便产生 ，带来的损失也很幼 ，能够接受残存风险。
此刻 ，我们能够将单个事务的损失（SLE）与事务产生可能性（ARO）结合起来 ，以获得年度预期损失（ALE）。
ALE暗示针对特定资产的给定威胁多年以来的年均匀损失 ，其公式为：SLE *ARO = ALE
潜在损失*产生的可能性=预期损失（危险水平）
这衷炖价方式很容易理解 ，产生概率大 ，潜在损失也大的威胁注定危险等级最高；而产生概率低 ，潜在损失也低的威胁危险等级最低。产生概率大损失幼或者产生概率幼损失大的 ，危险等级就居中。进行STRIDE-LM威胁分析时能够使用这种单一的评价方式 ，评价简洁执行容易 ，但由于评价尺度单一 ，对于有争议的威胁 ，若是出现各人对危险等级的评级定见不统一的情况 ，则跨部门多方沟通协商而定。
表.3-5G网络威胁评价样例
6、威胁节造措施
基于前面5个阶段的工作了局 ，能够针对威胁评价列表中的多个威胁 ，执行分歧的安全节造措施 ，这些节造措施蕴含�；� ，还蕴含鉴别、认证、检测、防护和响应等多种机造。
表.4-5G威胁 ，安全属性和节造措施
通过全面相识入侵面和威胁行为者 ，结合节造措施和威胁谍报来综合确定节造措施的有效性。5G网络威胁节造措施的有效性可与威胁评价相结合使用 ，并进行持续地迭代与更新。
利用5G威胁建模一方面能够作为工作抓手来推动跨部门和技术条线的5G业务合作 ，另一方面能够使安全专家越发深刻地理解业务和网络 ，并与安全相融合 ，从而成立5G网络入侵面整体视图 ，为全面风险治理指明方向和沉点。威胁建模思想和步骤能够加深我们对于5G及其安全的理解 ，成为解决5G安全问题的“路”与“术”。
|文章作者：毕亲波 赵呈东|
京公网安备11010802024551号