4. 威胁建模与威胁情报接入
风险量化不能只盯着资产自身的漏洞数量，还必须回答一个更前置的问题：谁会以什么路径来攻击我们，哪些威胁场景真正值得优先治理。威胁建模负责从系统设计出发，推演攻击者可能走的路径；威胁情报接入负责把外部真实世界的攻击者行为、工具、基础设施和漏洞利用动态引入进来。两者结合，才能把“理论上可能”收敛为“现实中高概率发生”的威胁场景，为后续的量化评分提供可信输入。
STRIDE：从系统元素出发做结构化威胁枚举
STRIDE 是微软提出的威胁分类框架，它把威胁分为六类：仿冒（Spoofing）、篡改（Tampering）、抵赖（Repudiation）、信息泄露（Information Disclosure）、拒绝服务（Denial of Service）和权限提升（Elevation of Privilege）。它的价值在于把“想威胁”变成“按类别逐项检查”，避免遗漏。
实操中通常配合数据流图（DFD）使用：先画出外部实体、进程、数据存储和数据流，再对每类元素套用适用的 STRIDE 类别。例如外部实体主要面临仿冒和抵赖；进程面临全部六类；数据存储主要面临篡改、信息泄露和拒绝服务；数据流主要面临篡改、信息泄露和拒绝服务。下面这张图展示了 STRIDE 与 DFD 元素的对应关系，以及一个典型 Web 登录场景中的威胁落点。
攻击树：把“如何达成攻击目标”拆成可计算的分支
STRIDE 解决“有哪些威胁”，攻击树解决“攻击者如何一步步达成目标”。攻击树以攻击者目标为根节点，向下分解为子目标，叶节点是具体攻击动作。节点之间用 AND/OR 连接：OR 表示任一子节点成功即可达成父目标，AND 表示所有子节点都成功才能达成父目标。
攻击树最大的实用价值是可赋值计算。假设某攻击目标为“获取管理员账户”，其下有两个 OR 分支：分支 A 是“钓鱼获取凭证”，估计成功率 0.35；分支 B 是“利用已知漏洞提权”，估计成功率 0.20。若两分支独立，则总成功概率约为 1-(1-0.35)(1-0.20)=0.48。若分支 B 内部是 AND 结构（先获取低权账户 0.6，再提权 0.4），则该分支概率为 0.6×0.4=0.24。这些数值来自历史事件、情报和专家判断，属于合理假设，用于排序而非精确预测。通过这种计算，可以快速识别哪条攻击路径贡献最大，从而优先加固。
MITRE ATT&CK：用真实攻击者行为校准威胁场景
ATT&CK 是 MITRE 维护的攻击者行为知识库，按战术（Tactic）和技术（Technique）组织。战术描述攻击者“为什么做”，如初始访问、执行、持久化、权限提升、防御规避、凭证访问、发现、横向移动、收集、命令与控制、数据外泄、影响；技术描述“怎么做”，如 T1566 钓鱼、T1059 命令执行、T1055 进程注入、T1078 有效账户、T1041 数据外泄等。
把 ATT&CK 接入威胁建模，核心动作是映射：将 STRIDE 或攻击树中的威胁条目对应到具体 ATT&CK 技术，再结合情报判断哪些技术正在被活跃使用。例如，若情报显示某勒索团伙近期大量使用 T1486（数据加密影响）和 T1490（抑制系统恢复），而组织内存在未打补丁的对外服务，则“勒索加密”场景的优先级应显著提高。
威胁情报接入：从情报源到可执行场景
威胁情报源可分为战略、运营、战术和技术四层。战略情报用于判断威胁趋势；运营情报描述攻击活动；战术情报描述 TTP；技术情报提供 IOC，如恶意 IP、域名、文件哈希。接入时不能只做“情报订阅”，而要建立情报→资产→威胁场景的关联链路。
一个可落地的接入流程是：情报源采集 → 归一化与去重 → 与资产和漏洞匹配 → 生成威胁场景 → 进入量化评分。例如，情报通报某 CVE 正在被利用，组织资产清单中匹配到 12 台受影响服务器，其中 3 台暴露在互联网，则生成场景“互联网暴露服务器被利用导致入侵”，并记录利用可能性、影响范围和现有控制。
综合示例：从建模到场景排序
假设某电商系统，资产包括对外 Web 应用、认证服务、订单数据库和运维跳板机。通过 STRIDE 识别出“认证服务仿冒登录”“订单数据库信息泄露”“跳板机权限提升”等威胁；通过攻击树计算，发现“钓鱼→凭证窃取→登录 VPN→横向到数据库”路径成功概率约 0.42，高于其他路径；通过 ATT&CK 映射，该路径对应 T1566、T1078、T1021、T1078.004 等技术；情报显示近期有团伙使用同类 TTP 攻击电商行业。综合后，该场景应排在治理优先级前列，优先措施包括强制 MFA、限制 VPN 横向访问、对数据库访问做细粒度审计。
需要强调的是，威胁建模和情报接入的结论必须持续更新。系统架构变化、新漏洞披露、攻击者 TTP 演进都会改变威胁场景的概率和影响。建议至少每季度复审一次，重大变更时即时更新，确保量化评分始终基于当前真实威胁图景。