3. 威胁场景建模：STRIDE方法论详解、威胁场景构建、攻击路径分析

威胁建模这件事，说白了就是「站在攻击者的角度思考问题」。你想想看，如果不知道坏人会从哪里下手，你怎么防？我在多个量产项目里发现，很多团队把大量精力花在漏洞扫描上，却忽略了最根本的一步——系统性地识别威胁。今天我们就来聊聊STRIDE这个经典框架，以及怎么用它构建真实的威胁场景。

3.1 STRIDE方法论：六类威胁的实战解读

STRIDE是微软提出的威胁分类模型，六个字母分别代表六类威胁。我个人习惯把它当作「检查清单」来用——每分析一个系统组件，就挨个过一遍这六类，基本不会漏东西。

3.2 威胁场景构建：从数据流到威胁故事

光知道六类威胁还不够，你得把它们「翻译」成具体的场景。我习惯用三步法来构建威胁场景：

1. 画数据流图 —— 标出所有外部实体、过程、数据存储和数据流
2. 逐元素套STRIDE —— 对每个数据流元素问「这六类威胁可能发生吗？」
3. 写威胁故事 —— 用「攻击者 + 攻击目标 + 攻击手段 + 造成后果」的句式描述

举个例子，分析一个OTA升级流程：

• 数据流：云端服务器 → 车载T-Box → 网关 → 目标ECU
• STRIDE分析：对「云端→T-Box」这条链路，S（欺骗）意味着攻击者可能伪造OTA服务器；T（篡改）意味着固件包可能在传输中被修改
• 威胁故事：「攻击者通过伪造OTA服务器，向车辆推送篡改过的固件，导致ECU功能异常」

3.3 攻击路径分析：把碎片连成线

单个威胁场景就像一块拼图，攻击路径分析就是把这些拼图连起来。我记得在某个Tier 1的项目中，客户只关注了单个ECU的威胁，结果攻击者通过组合两个低风险漏洞，绕过了整个安全架构。嗯，这就是为什么我们要做攻击路径分析。

攻击路径分析的核心步骤：

1. 识别入口点 —— 攻击者从哪里进入系统？（如：蓝牙、Wi-Fi、OBD接口）
2. 绘制攻击链 —— 从一个入口点出发，攻击者能「跳」到哪些内部组件？
3. 标注攻击难度 —— 每一步需要什么条件？（如：物理接触、逆向工程、已知漏洞）
4. 评估可达性 —— 攻击者最终能到达哪个高价值目标？（如：网关、安全域控制器）

下面这张图展示了一个典型的攻击路径分析框架：

3.4 实战中的避坑指南

做了这么多年TARA，我踩过不少坑。分享几个典型的：

• 别只盯着技术威胁 —— 物理攻击（如：撬开OBD接口、拆卸ECU）往往被忽略，但实际中很常见
• 攻击路径不是越复杂越好 —— 我见过有人把攻击链画了十几步，但现实中攻击者根本不会走那么绕的路。保持简洁，聚焦在「最可能的路径」上
• 别忘了「组合攻击」 —— 单个低风险威胁可能不可怕，但两个组合起来可能就是致命漏洞

3.5 从理论到实践：一个完整的威胁场景示例

最后，我们用一个完整的例子把今天的内容串起来。假设我们要分析一个「远程解锁车门」的功能：

你看，通过STRIDE+攻击路径分析，一个看似简单的功能，背后其实藏着不少威胁。我个人习惯在项目初期就把这些分析做完，而不是等到测试阶段才发现问题——那时候改起来成本就高了。