前沿思虑 | 5G时期，网络安全威胁建模的“路”与“术”
颁布功夫 2020-12-10威胁建模作为5G时期网络安全实际的起点，与传统的威胁建模有何异同？一路来看GA黄金甲专家团专家们若何解读其中的“路”与“术” 。
当前，我们正处于数字经济转型和不休升级的时期，5G成为万物互联的纽带和融合创新的驱动力，5G网络的这些特点和业务属性决定了其安全的必要性和沉要性，网络安全威胁建模是进行网络安全最佳实际的起点和沉要环节 。本文一方面介绍了业界成熟的威胁建模步骤的6个步骤，另一方面论述了若何将此步骤利用于5G网络威胁建模的具体实际 。
5G网络安全，是我们共同面对的全球性问题
5G网络选取基于服务的架构SBA，基于云原生（Cloud Native）、用户平面和节造平面解耦，拥有云化、软件界说、可编程和服务能力盛开的特点 。5G网络在造福社会、撬动社会刷新的同时，也引发了新的网络安全风险，5G 网络安全成为我们共同面对的全球性问题 。
网络安全建设的第一步就是必要明确其面对的威胁微风险，而威胁建模是鉴别和梳理威胁的成熟做法 。因而，必要利用威胁建模的步骤和工具，缜密结合5G网络新业务、新架构、新技术和丰硕的场景，全面地进行5G网络安全威胁建模工作，具体地梳理威胁，齐全地展示5G网络所面对的威胁面和入侵面 。
业界成熟的STRIDE-LM威胁建模步骤
威胁建模是对网络入侵者采取自动积极防御的一项工程步骤，是网络安全最佳实际工作的起点和关键阶段 。威胁建模让安全专家站在入侵者角度思虑问题，并更好地相识若何接见网络和系统，使我们能够明显地预感其粉碎面，并绘造出系统可能蕴含的分歧威胁、入侵、缝隙和对策，从而采取积极防御、自动防护、有理有据的风险治理战术 。
微软开发的STRIDE模型思考了多种威胁类型的影响，在分析活动中，结合威胁谍报、资产、入侵面等多种成分，综合思考各类威胁及其原因和了局 。为了可能更全面地发现并描述威胁和入侵指标的原因、蹊径和了局，必要分析入侵链的高低文 。这里增长一种附加的威胁类型：横向移动（lateral Movement, LM）形成STRIDE-LM模型 。STRIDE-LM威胁建模步骤是一个不休迭代不休循环的动态步骤，主题流程蕴含如下6个步骤，一是鉴别资产，二是鉴别威胁参加者或威胁成分，三是分化系统界说入侵面，四是威胁行为分类，五是威胁评估和评价，六是威胁节造措施 。如图所示：
威胁建模步骤论（Threat Modeling Methodology）
1、鉴别资产，梳理资产台账，明确威胁对象和�；ざ韵�
信息资产作为对组织拥有价值的信息或资源，是安全战术�；さ亩韵�，必要梳理明显，纪录资产类型，形成资产台账，并指定这些资产在系统或环境中地位，并且随着业务利用的变动而动态更新 。针对所鉴别出的资产，成立对于入侵行为的初步意识 。
2、列出威胁成分
确定要入侵该系统的实体以及原因，蕴含动机、技术水平、资源和指标等特点，并将这些成分逐一列出 。结合威胁谍报，思考分歧的威胁参加者类型将若何粉碎指标资产 。
3、分化系统，界说入侵面
成立了业务架构和技术架构的全貌之后，梳理业务逻辑、服务对象、天堑，并基于所网络的信息将利用法式、系统、环境、组件分化为分层视图 。在整体视图上映射与之通讯的利用法式、系统等元素，而后界说入侵面 。入侵面将援手界说系统和信赖天堑，输出文档化的入侵面界说，利用文档化的入侵面和分化的系统以及重要用例来纪录入侵蹊径，捕获这些蹊径中蕴含的职能组件、信赖域和信赖天堑，蕴含现有的安全节造和服务 。同时思考一样蹊径上可能存在的多种入侵步骤，这些蹊径蕴含物理蹊径和逻辑蹊径 。在这个阶段，通�；崽焐萘鞒掏迹―ata Flow Diagram）或一组DFD 。
4、威胁行为分类，使用适合于系统和组织的分类法对威胁进行分类 。
对威胁进行分析和分类，确保充分理解每种威胁的原因 。
凭据资产性、威胁产生的可能性，结合威胁谍报等成分对威胁所带来的风险严沉性进行评估、比力，确定优先级排序 。
5、威胁节造措施
威胁建模的最后一个阶段是选择和执行安全节造措施，以缓解、解除或节造在软件开发或工程工作中发现的威胁，并评估现有节造措施的有效性 。威胁节造措施的选择和执行成效评估的节造职能蕴含网络、检测、防护、治理和响应5个环节，将这5个环节的工作进行迭代和循环使用，直到可能接受残存风险 。
最后，通过考量人员、流程和技术多个维度差距来执行威胁节造措施，同时对这些差距的鉴别能够加强对潜在风险项主张意识与理解，从而转化为全面风险治理的源动力 。
基于STRIDE-LM的5G网络安全威胁建模
遵循STRIDE-LM威胁建模步骤论6大阶段的关键作为对5G网络执行威胁建模，下面进行具体地论述 。
1、鉴别资产
资产是对组织拥有价值的信息或资源，是安全战术�；さ亩韵� 。除了对组织有价值之表，资产还有助于推广司法使命 。在5G网络中，资产蕴含但不限于如下几种：
a）硬件，软件和通讯组件
b）通讯链接
c）节造系统职能，由系统产生和/或使用或在系统内部流动的数据
d）5G系统的物理基础架构
e）与系统交互并可能影响其操作的人员（例如，用户，系统治理员等）
由于其价值，数字资产成为威胁行为者的指标，5G资产分为两大类：
鉴别资产（Identity Assets）
2、鉴别威胁成分
威胁能够通过威胁主体、资源、动机、蹊径等多种属性来描述，造成威胁的成分可分为报答成分和环境成分 。威胁作用大局可所以对信息系统直接或间接的入侵，可能是偶发的或蓄意的事务，对机密性、齐全性或可用性等方面造成侵害 。
5G网络的威胁参加者分为两大类：
威胁参加者（Threat Vectors）
5G网络面对的威胁是4G网络威胁和5G自身新威胁的累加 。
5G网络威胁（5G Cyber Threats）
3、界说入侵面
5G网络的露出领域会随着所承载的垂直行业的变动而越来越大，关键资产的数量因新业务而激增，入侵面也会因而变的动态而扩大 。
分化5G网络结构，将入侵面梳理明显就变得尤为沉要 �；�5G网络结构整体视图，绘造用例或用例集的数据流程图DFD，同时，结合威胁和威胁谍报逐步得到5G网络的入侵面 。
5GDFD和入侵面（5G DFD and Attack Surfaces）
4、威胁分类
这里以STRIDE-LM模型作为威胁行为分类的凭据，具体如下表所示 。
表.1-威胁，安全属性和节造措施（Tab.1-Threat Categorization, Security Properties）
凭据表1，能够梳理出5G网络威胁分类的齐全列表，样例如表2所述：
表.2-5G威胁威胁分类，安全属性（Tab.2-5G Threat Categorization, Security Properties）
5、威胁评估和评价
凭据威胁造成的危险对其进行评价，这样就可能优先解决最大的威胁，其次再解决其它威胁 。现实上，解决所有找出的威胁险些是不成能的也不用要，关键是要有决策凭据而忽略掉一些，由于它们产生的机遇很幼，即便产生，带来的损失也很幼，能够接受残存风险 。
此刻，我们能够将单个事务的损失（SLE）与事务产生可能性（ARO）结合起来，以获得年度预期损失（ALE） 。
ALE暗示针对特定资产的给定威胁多年以来的年均匀损失，其公式为：SLE *ARO = ALE
潜在损失*产生的可能性=预期损失（危险水平）
这衷炖价方式很容易理解，产生概率大，潜在损失也大的威胁注定危险等级最高；而产生概率低，潜在损失也低的威胁危险等级最低 。产生概率大损失幼或者产生概率幼损失大的，危险等级就居中 。进行STRIDE-LM威胁分析时能够使用这种单一的评价方式，评价简洁执行容易，但由于评价尺度单一，对于有争议的威胁，若是出现各人对危险等级的评级定见不统一的情况，则跨部门多方沟通协商而定 。
表.3-5G网络威胁评价样例
6、威胁节造措施
基于前面5个阶段的工作了局，能够针对威胁评价列表中的多个威胁，执行分歧的安全节造措施，这些节造措施蕴含�；�，还蕴含鉴别、认证、检测、防护和响应等多种机造 。
表.4-5G威胁，安全属性和节造措施
通过全面相识入侵面和威胁行为者，结合节造措施和威胁谍报来综合确定节造措施的有效性 。5G网络威胁节造措施的有效性可与威胁评价相结合使用，并进行持续地迭代与更新 。
利用5G威胁建模一方面能够作为工作抓手来推动跨部门和技术条线的5G业务合作，另一方面能够使安全专家越发深刻地理解业务和网络，并与安全相融合，从而成立5G网络入侵面整体视图，为全面风险治理指明方向和沉点 。威胁建模思想和步骤能够加深我们对于5G及其安全的理解，成为解决5G安全问题的“路”与“术” 。
|文章作者：毕亲波 赵呈东|
京公网安备11010802024551号