# Co je modelování hrozeb?

> Modelování hrozeb (threat modeling) je strukturovaná, opakovatelná analýza toho, jak by systém mohl být poškozen či zneužit a jaká návrhová rozhodnutí mohou toto riziko snížit.

- Kanonická URL: https://yellowcube.eu/cs/glossary/threat-modeling/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Účastníci vytvářejí bezpečnostně relevantní pohled na systém, identifikují věrohodné hrozby a cesty zneužití, vybírají reakce a kontrolují, zda jsou výsledné požadavky adekvátní. Nejužitečnější je brzy v návrhu a mělo by se vyvíjet se systémem.

Model může pokrývat aktiva, uživatele, datové toky, závislosti, hranice důvěry, oprávnění, předpoklady a potenciální protivníky. Týmy mohou používat metody jako Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service a Elevation of Privilege (STRIDE), útočné stromy, případy zneužití či přístupy zaměřené na riziko; žádná jediná metoda není správná pro každý systém.

### Klíčové body

- **Základní otázky:** Co budujeme, co se může pokazit, co s tím uděláme a zkoumali jsme systém a reakce dostatečně?
- **Užitečné výstupy:** Diagramy či jiné modely systému, dokumentované předpoklady, prioritizované scénáře hrozeb, bezpečnostní požadavky, vlastníci, přijatá rizika a testovatelné validační kritéria.
- **Pracovní praxe:** Dle relevance zapojte inženýrství, operace, produkt, soukromí, bezpečnost a doménové zúčastněné strany, poté model přezkoumejte, když se architektura, závislosti, data, použití či hrozby změní.
- **Důležité omezení:** Model hrozeb odráží svůj rozsah, účastníky, důkazy a předpoklady; nemůže vyjmenovat každý budoucí útok. Neskenuje běžící systémy, nedokazuje kvalitu implementace ani nenahrazuje revizi kódu, bezpečnostní testování či provozní monitorování.

### Související termíny

[Zabezpečení aplikací](<https://yellowcube.eu/cs/glossary/application-security/>) · [DevSecOps](<https://yellowcube.eu/cs/glossary/devsecops/>) · [Útočná plocha](<https://yellowcube.eu/cs/glossary/attack-surface/>) · [Penetrační testování](<https://yellowcube.eu/cs/glossary/penetration-testing/>)

### Zdroje

[OWASP Threat Modeling Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html) · [Carnegie Mellon SEI: Threat Modeling—A Summary of Available Methods](https://www.sei.cmu.edu/library/threat-modeling-a-summary-of-available-methods/)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.