供应链安全威胁模型：STRIDE、攻击树与威胁建模方法论
威胁模型这东西，说白了就是帮我们回答三个问题：谁在攻击我？从哪下手？能造成多大破坏？在供应链场景里，攻击面比传统IT环境大得多——你不仅要防自己的系统，还得防供应商、防物流、防固件更新通道。我这些年做安全审计，见过太多因为威胁模型没做透，最后被供应链上游一粒老鼠屎搞垮整条产线的案例。
今天咱们就掰开揉碎，把STRIDE模型、攻击树分析、威胁建模方法论这三板斧讲透。
2.1 STRIDE模型在供应链中的落地
STRIDE是微软提出的威胁分类框架，六个字母对应六类威胁。原版是为软件系统设计的，但供应链场景下，每个威胁维度都有独特的变形。我个人习惯在项目启动前，先拿STRIDE过一遍供应链全景图，能快速锁定高风险区域。
| 威胁类型 | 原意 | 供应链场景举例 |
|---|---|---|
| Spoofing（假冒） | 冒充合法用户或系统 | 伪造供应商身份、冒用设备序列号、仿冒固件签名 |
| Tampering（篡改） | 非法修改数据或代码 | 供应链中间节点篡改物料清单、植入后门固件 |
| Repudiation（抵赖） | 否认做过某操作 | 供应商否认发过问题批次、物流方否认运输异常 |
| Information Disclosure（信息泄露） | 敏感数据被未授权访问 | 供应商泄露设计图纸、设备身份密钥外流 |
| Denial of Service（拒绝服务） | 系统或服务不可用 | 攻击供应链管理系统、阻断设备激活通道 |
| Elevation of Privilege（权限提升） | 获得超出授权的权限 | 从供应商系统横向渗透到核心生产网络 |
关键认知：供应链场景下，Spoofing和Tampering是最常被利用的入口。我经手的一个项目里，攻击者就是通过伪造供应商的代码签名证书，把恶意固件推送到了终端设备——STRIDE里的S和T全中。
怎么用STRIDE做供应链审计？我建议按这个步骤来：
- 画数据流图——把供应链拆成供应商、制造商、物流、分销商、终端设备五个节点，标出每个节点的数据流向和信任边界。
- 逐节点过STRIDE——对每个节点问一遍：这里能不能假冒？能不能篡改？能不能抵赖？……
- 标记风险等级——高、中、低三档，高风险的必须出缓解方案。
- 输出威胁清单——作为后续安全设计的输入。
我的经验：STRIDE不是一次性的。供应链是动态的，换一个供应商、改一条物流路线，威胁面就可能变。我每季度会拉着团队过一遍STRIDE，就当给供应链做体检。
2.2 攻击树分析：把攻击路径画出来
攻击树是一种树形结构，根节点是攻击者的最终目标，子节点是达成目标需要完成的子步骤。你想想看，这玩意儿特别适合供应链——因为供应链本身就是树状的，上游出问题，下游全遭殃。
举个例子。假设攻击者的目标是「向终端设备植入恶意固件」，攻击树可能是这样的：
根目标：向终端设备植入恶意固件
├── 1.0 获取固件签名私钥
│ ├── 1.1 入侵供应商签名服务器
│ ├── 1.2 社会工程学攻击签名管理员
│ └── 1.3 从固件更新包中逆向提取密钥
├── 2.0 篡改固件更新通道
│ ├── 2.1 劫持OTA更新服务器
│ ├── 2.2 中间人攻击固件下载链路
│ └── 2.3 替换物流中的固件烧录介质
└── 3.0 绕过设备启动校验
├── 3.1 利用Bootloader漏洞
├── 3.2 刷写未签名分区
└── 3.3 物理调试接口注入攻击树的价值在哪？我总结三点：
- 可视化攻击路径——一眼看出攻击者有多少种打法。
- 量化风险——给每个叶子节点标上「攻击难度」和「检测难度」，算出根目标的综合风险分。
- 指导防御——优先封堵那些低成本、高收益的攻击路径。
避坑指南：我曾经见过一个团队，攻击树画了十几层，但全是理论推导，根本没考虑实际攻击成本。结果呢？安全预算全花在封堵「理论上可能但现实中没人用」的路径上，真正的高危路径反而漏了。画攻击树一定要结合真实威胁情报，别闭门造车。
2.3 威胁建模方法论：从理论到落地
STRIDE是分类工具，攻击树是分析工具，但要把它们串起来，需要一套完整的方法论。我常用的威胁建模流程分五步：
- 界定范围——明确要保护的资产、信任边界、关键业务流程。
- 分解系统——画出架构图、数据流图、组件依赖图。
- 识别威胁——用STRIDE逐层扫描，用攻击树深挖路径。
- 评估风险——结合业务影响和攻击概率，给威胁排优先级。
- 制定缓解——针对高风险项，设计技术和管理双重控制措施。
这里我特别想强调第3步和第4步的衔接。很多团队识别出一堆威胁，但不知道怎么排优先级。我的做法是引入DREAD模型做量化打分：
| 维度 | 说明 | 评分标准（1-10） |
|---|---|---|
| Damage | 潜在损害程度 | 1=轻微影响，10=系统完全瘫痪 |
| Reproducibility | 攻击复现难度 | 1=极难复现，10=每次都能成功 |
| Exploitability | 攻击实施难度 | 1=需要国家级资源，10=脚本小子也能搞 |
| Affected Users | 受影响用户范围 | 1=个位数，10=百万级 |
| Discoverability | 漏洞被发现难度 | 1=几乎不可能发现，10=公开信息可查 |
五个维度分数相加，总分越高，优先级越高。我个人习惯把40分以上的定为P0，30-40分P1，20-30分P2，20分以下先放一放。
核心原则：威胁建模不是一次性的文档工作，而是持续迭代的安全活动。每次供应链变更——换供应商、改协议、升级固件——都应该触发一次威胁建模回顾。
2.4 本章知识体系总览
下面这张图把STRIDE、攻击树、威胁建模方法论的关系串起来了。你可以把它当作供应链安全威胁模型的「全景地图」。
我的建议：刚开始做威胁建模，别贪多求全。先拿一个核心产品、一条关键供应链练手，把STRIDE和攻击树跑通。跑通一次之后，后面就是复制粘贴加微调的事。我团队里新来的安全工程师，我都是让他们先画一个攻击树练手——画完基本就入门了。
最后说一句。威胁模型不是用来吓唬人的，是用来指导决策的。你花一周时间建出来的模型，如果不能让团队在安全投入上做出更明智的选择，那就是废纸。记住：模型是工具，不是目的。