有用的威脅模型會說明你保護什麼、誰或什麼能影響它、信任在哪裡改變，以及你將如何降低並測試最重要的風險。請從實際專案開始，而不是一份通用的工具清單。
定義一個小到足以推理的範圍
從一個運作中的服務開始：客戶入口網站、發佈網站或內部應用程式。寫下你營運的元件與你依賴的外部系統。威脅模型應讓假設變得可見，而不是暗示每一種可能的攻擊都已解決。讓第一版小到部署應用程式的人能解釋它，而不需要另請顧問來解讀圖表。
列出有價值的結果與資產。這些可能包括客戶資料、管理存取、付款狀態、已發佈內容與復原服務的能力。即使資訊是公開的，可用性也可能是一項資產。決定哪些故障會造成不便，哪些會傷害人員或組織。這種區分有助於排定控制的優先順序，而不是把每個警告都同等看待。
畫出信任改變的地方
OWASP 的威脅模型指引使用資料流與信任邊界，讓設計變得容易理解。對小型主機應用程式，請畫出瀏覽器、Web 程序、資料庫、管理員、備份目的地與外部整合。標出它們之間移動的資訊。從不受信任的用戶端跨越到具特權的伺服器操作的請求，值得明確的驗證與授權。
不要假設位於同一台機器內，就讓每個元件都同樣受信任。公開上傳程序不應擁有與資料庫管理相同的權限。備份工作可能需要讀取權限，但不能修改線上應用程式記錄。隔離這些角色，可讓元件遭入侵的影響更容易控制，所需權限也更容易檢視。
選擇具體的故障情境
用少數幾個可能發生的事件來挑戰設計。攻擊者竊取管理員密碼；使用者請求另一位使用者的記錄；上傳塞滿磁碟；部署暴露配置檔；復原副本無法還原。描述起始條件、受影響的元件與後果。具體情境比籠統的「改善安全性」指示更容易測試。
除了外部入侵，也要納入錯誤與合法工作流程的濫用。重試可能建立兩項有價值的操作，或兩個請求可能競相變更同一個物件。OWASP 的業務邏輯指引強調這些流程假設。檢查誰有權把工作流程推進到下一個狀態，以及重複或重新排序請求是否會意外改變結果。
| 情境 | 要調查的控制 | 應收集的證據 |
|---|---|---|
| 管理憑證遭竊 | 限制存取，並在支援時使用第二因素 | 未經授權的登入無法完成 |
| 請求另一位使用者的物件 | 伺服器端物件授權 | 隔離測試傳回拒絕結果 |
| 上傳耗盡磁碟 | 大小、配額與保留控制 | 在服務故障前強制執行限制 |
| 重複的工作流程請求 | 冪等性與交易邊界 | 重複請求只產生一個結果 |
依影響與可信路徑排定優先順序
對每個情境，記錄其潛在影響與發生所需的條件。避免假裝一個猜測的數值分數是精確的機率。你仍可區分暴露於網際網路的弱密碼與高度條件性的本機事件。為重要風險指派負責人與實際的下一步，讓模型產生有人能真正完成的工作。
除了應用程式遭入侵，也要考慮資訊生命週期。診斷匯出可能在原本正常的運作中揭露不必要的資料。保留的帳號欄位可能在用途結束後很久仍造成暴露。因此，隱私檢視可以移除資訊或縮短保留期，而安全檢視則限制對剩餘資料的存取。當這些變更能保護專案時，兩者都屬於模型的一部分。
在獲授權的環境中測試控制
建立一個具有代表性權限與虛構記錄的預備環境。測試拒絕存取、請求限制、工作流程重試與復原。當合成資料即可展示行為時，請勿使用真實客戶資料。目標是驗證控制措施，而非產生驚人的攻擊流量。請留在您擁有或明確獲授權評估的系統範圍內。
記錄哪些通過、哪些失敗以及哪些仍未知。掃描器結果可作為證據，但不能取代對應用程式業務規則的測試。同樣地，網路保護選項並不能驗證物件授權或機密檔案處理。將有用的結果附加到情境中，以便未來的維護人員了解為何存在某項特定控制措施。
讓模型與變更保持連結
當您新增整合、公開新端點、變更權限或將資料移至其他目的地時，請檢閱相關部分。您不需要為了小幅文字編輯而重繪整個架構。觸發點是關於存取、資訊或系統行為的假設發生變化。請將模型放在部署與復原文件旁邊，而不是讓它成為一次性的工作坊產出。
SwissOctet 提供的是基礎架構選項目錄，而非完成的應用程式威脅模型。選擇支援您控制措施的配置與選項，然後驗證您所建置的部署。一個經過維護且動作經過測試的小型模型，比一大堆沒有清楚說明其所應對風險的安全產品更有用。
您的實用檢查清單。
- 列出資產與失敗的後果。
- 繪製資料流與信任邊界。
- 選擇特定的入侵、錯誤與工作流程情境。
- 為重要風險指派控制措施與負責人。
- 在獲授權的環境中使用合成資料進行測試。
- 當相關假設改變時檢閱模型。
重要細節。
我需要正式框架才能開始嗎？+
不需要。一張小型圖表與一組有記錄的情境就能派上用場。框架有助於確保您一致地檢閱風險。
弱點掃描器能取代威脅建模嗎？+
不能。掃描器可能找出技術弱點，而威脅模型還會檢視設計假設、權限與業務工作流程。
我應該多久更新一次模型？+
當資料流、整合、權限或公開功能變更時，更新受影響的部分，並定期檢閱未解決的風險。
前往來源。
這些參考資料支持本指南中的技術概念。在變更生產系統之前，請遵循最新文件。
- OWASP：威脅建模速查表 cheatsheetseries.owasp.org
- OWASP：實務中的威脅建模 devguide.owasp.org
- OWASP：業務邏輯安全 cheatsheetseries.owasp.org
由 SwissOctet 提供的編輯指引。範例僅供說明。服務規格、可用選項與合約條件必須另行驗證。