Účastníci vytvářejí bezpečnostně relevantní pohled na systém, identifikují věrohodné hrozby a cesty zneužití, vybírají reakce a kontrolují, zda jsou výsledné požadavky adekvátní. Nejužitečnější je brzy v návrhu a mělo by se vyvíjet se systémem.
Model může pokrývat aktiva, uživatele, datové toky, závislosti, hranice důvěry, oprávnění, předpoklady a potenciální protivníky. Týmy mohou používat metody jako Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service a Elevation of Privilege (STRIDE), útočné stromy, případy zneužití či přístupy zaměřené na riziko; žádná jediná metoda není správná pro každý systém.
Klíčové body
Základní otázkyCo budujeme, co se může pokazit, co s tím uděláme a zkoumali jsme systém a reakce dostatečně?
Užitečné výstupyDiagramy či jiné modely systému, dokumentované předpoklady, prioritizované scénáře hrozeb, bezpečnostní požadavky, vlastníci, přijatá rizika a testovatelné validační kritéria.
Pracovní praxeDle relevance zapojte inženýrství, operace, produkt, soukromí, bezpečnost a doménové zúčastněné strany, poté model přezkoumejte, když se architektura, závislosti, data, použití či hrozby změní.
Důležité omezeníModel hrozeb odráží svůj rozsah, účastníky, důkazy a předpoklady; nemůže vyjmenovat každý budoucí útok. Neskenuje běžící systémy, nedokazuje kvalitu implementace ani nenahrazuje revizi kódu, bezpečnostní testování či provozní monitorování.