16、威胁模型可复用性：两种方法的实验评估

威胁模型可复用性：两种方法的实验评估

1. 引言

如今，软件系统愈发连接紧密、动态且复杂，网络犯罪的威胁和案例也日益增多。即便安全意识较高的产品，若设计者未能理解软件面临的威胁及攻击者可能采用的攻击方式，也可能遭受攻击。因此，将威胁建模纳入软件开发活动，以全面了解应用程序的潜在威胁并解决这些问题，显得尤为重要。

常见的威胁模型包括攻击树、威胁树、数据流图和误用案例图等，这些模型利用了开发者熟悉的结构，如树和UML。此外，还可以使用更正式的模型类型进行威胁建模。然而，对于缺乏广泛安全专业知识的软件开发人员来说，威胁建模是一项耗时且复杂的任务。而且，具有相似特征的应用程序往往会产生非常相似的威胁模型。

为支持软件开发人员解决安全问题，我们鼓励利用可复用的威胁模型进行知识共享，以提高效率和质量。本文主要关注支持非安全专家的开发人员，因此选择了易于理解且开发者可能熟悉的模型类型，即误用案例和攻击树，并通过实验评估可复用威胁模型的形式。

2. 研究方法

我们采用了两种不同的误用案例复用方法：
1. 复用误用案例存根 ：以独立的误用案例元素形式导入通用威胁，这些元素与安全用例和攻击树相连。
2. 复用特定应用类型的完整误用案例图 ：将特定领域和应用类型的代表性误用案例图作为当前应用的参考来源。

这两种方法基于一个观点，即从有组织的列表或示例中识别相关的模型项比从头创建更容易。为了了解这些方法对普通开发者的适用性，我们进行了一项实验，采用拉丁方实验设计，让所有参与者使用两种方法构建威胁模型，并控制使用方法的顺序。

实