Threat Modeling

Definition / 定义

Threat modeling（威胁建模）：一种系统化的安全分析方法，用来识别系统可能面临的威胁、攻击路径与风险，并据此制定缓解措施（如安全需求、设计改进、控制措施）。常用于软件、网络、业务流程与数据系统的安全设计阶段。

Pronunciation / 发音

/θrɛt ˈmɑːdəlɪŋ/

Examples / 例句

We do threat modeling before we release the app.
我们在发布这个应用之前会进行威胁建模。

Threat modeling helped the team identify trust boundaries, likely attackers, and the most cost-effective mitigations for sensitive data flows.
威胁建模帮助团队识别信任边界、可能的攻击者，以及针对敏感数据流最具成本效益的缓解措施。

Etymology / 词源

该术语由 threat（威胁） 与 modeling（建模/建立模型） 组合而成，字面意思是“对威胁进行建模”。在信息安全工程实践中逐渐固定为专门术语，强调用结构化方法（如数据流图、信任边界、资产清单）来“提前推演”系统如何被攻击。

Related Words / 相关词

• Attack Surface
• Risk Assessment
• Mitigation
• Vulnerability
• Exploit
• Trust Boundary
• Data Flow Diagram
• STRIDE

Literary Works / 文学作品

• Threat Modeling: Designing for Security（Adam Shostack）——以“threat modeling”为核心概念的经典安全工程著作。
• Security Engineering: A Guide to Building Dependable Distributed Systems（Ross J. Anderson）——讨论系统化安全设计与风险分析，包含与威胁建模紧密相关的方法论。
• Microsoft Security Development Lifecycle (SDL) documentation（微软 SDL 文档/指南）——在安全开发流程中明确强调威胁建模实践与产出物。