知识卡片
安全性需求的不可见性要求主动威胁建模
内容
安全性需求有个特殊性质：大多数利益相关者不会主动测试它是否被满足，只有安全被真正攻破时，才会确切知道需求没被满足——在那之前，没有清晰安全需求或正式模型的系统，看起来和真正安全的系统毫无区别。发散：这意味着不能坐等安全需求自己浮现，必须主动用威胁建模把它们从抽象逼成具体：识别什么资源有价值、可能遭遇什么攻击、攻击成功会造成什么后果，结合具体场景讨论。
参考来源
- 位置：第25章《安全性视角》25.5.8节「没有清晰的需求或模型」问题和缺陷（源文件：_epub-src/OEBPS/text00373.html附近）
- 结论依据：原文明确指出安全性不可见，大多数利益相关者不会主动测试，只有被攻破时才发现需求没有满足，因此建议用威胁和安全策略模型主动驱动安全设计、结合具体场景讨论，直接支持卡片结论。
- 原始内容："安全性是不可见的，因此大多数利益相关者都不会对其进行测试。只有安全性被破坏时，你才会发现有问题——那时你会非常肯定，利益相关者认为他们的需求没有得到满足……使用威胁和安全策略的模型来驱动安全性设计过程。创建这些模型会帮助你定义需求，因为它们把利益相关者的想法总结为什么有价值、什么有可能受到攻击以及攻击会产生什么样的影响。"