小型平台的威胁建模

威胁建模素来被认为是一种企业仪式，充斥着没人会看的图表。其实不必如此。对小型平台而言，真正有用的版本只需一小时，产出一份排序清单，其主要产出是弄清基础设施选择究竟影响哪些风险——因为对其中大多数风险来说，诚实的答案是：一个也不影响。

顺序比完整更重要

典型的失误，是把可能出错的一切都罗列成一份长长的清单，并将每一项都视为同等紧急。结果只会导致行动瘫痪，最终还是凭感觉做决定。一份排好序的七项清单，其价值胜过一份详尽的四十项清单，因为您实际上只会针对前三项采取行动，其余的无论如何都不会顾及。

排序应依据可能性 × 对您的成本，而非情形听起来有多骇人。国家级对手是任何清单上最令人生畏的一项，但对几乎所有小型平台而言，它也是可能性最低的一项——而离职承包商泄露的凭据，看似平淡无奇，却极为常见，且往往后果灾难性。

七类对手，按可能性排序

按可能性排列的对手及其应对方式

对手	可能性	托管是否有帮助	真正的应对措施
状态不佳的您自己	必然	否	您真正实测恢复过的备份，以及针对任何涉及身份验证或 DNS 的改动流程。您最严重故障的最可能起因，就是您自己。
自动化扫描	持续不断	否	及时打补丁、不使用密码认证、不使用默认凭据。这是背景噪音式的威胁；它并非针对您个人，也永远不会停止。
凭据泄露	较高	否	硬件二次验证、权限受限的 API 令牌，以及在有人离职当天而非一个季度后才撤销其访问权限。
手持表格的投诉者	较高	是	这是托管所在司法管辖区真正能左右的一项：仅凭一封投诉信，是否就足以让您的服务下线。
流量型攻击	中等	部分	上游过滤，尤其是服务商采取过滤而非为自保将您空路由丢弃。
定向入侵者	较低	否	网络隔离、最小权限原则、静态数据加密，以及入侵者无法篡改的日志存放位置。
国家级行为者	极低	部分	司法管辖区影响的是法律途径，而非技术途径。如果这真的在您的威胁模型之内，需要的是专业法律意见，而不是一套托管套餐。

托管选择影响的是哪些

七项之中只有两项，外加部分影响第三项。这个比例本身，就是整个练习中最有价值的产出；也正因如此，在选定服务商之前先做这项练习，比任何对比表格都更能省钱。

一小时版本

1. 列出您实际持有的内容（10 分钟）。不是系统——是数据。用户电子邮件地址、付款记录、私信、上传的文件、其他服务的凭据。写下哪些丢失后果最严重，哪些泄露后果最严重；两者往往并不相同。
2. 列出谁会觊觎每一项（10 分钟）。要具体。「黑客」算不上一个对手；「购买凭据泄露数据以转卖账户的人」才是，而且这意味着需要不同的防御方式。
3. 按可能性 × 成本排序（10 分钟）。不必理会听起来有多戏剧化。平淡无奇的那些才是主流。
4. 为前三项写下第一个小时的应对方案（20 分钟）。写下针对每一项，您在最初六十分钟内会做什么。如果答不上来，这本身就是发现——其价值甚至超过排序本身。
5. 标出哪些会受基础设施选择影响（10 分钟）。通常是排名前五中的两项。至此您就清楚，自己的托管选择究竟买到了什么。

当出现结构性变化时再重做这项练习——新增一种数据类型、新增一项集成、有人离职——而不是按固定周期进行。按日历安排的复查容易被跳过；由事件触发的复查则会被真正执行，因为眼前就摆着一个具体的理由。

让整个练习失去意义的三个错误

只对自己感兴趣的对手建模。思考国家级能力，显然比思考一个泄露在公开代码仓库里的 API 令牌更有意思。但您认识的人当中，几乎人人都遇到过后者。诚实排序，平淡无奇的项目才会胜出，这正是这项练习的意义所在。

把控制措施和结果混为一谈。「我们用了加密」并不能算作一项应对措施，除非您能说清它挡住了什么、又挡不住什么。运行中服务器上的全盘加密，防的是硬盘被拿出机房；对于已在正在运行的机器上取得 shell 的入侵者，它毫无作用，因为该卷早已处于解锁状态。

产出的是一份文档，而不是一个决定。如果做完这项练习后什么都没有改变——没有撤销任何权限，没有测试任何备份，也没有向服务商提出任何问题——那它就不是一次威胁建模，只是消磨了一个下午。产出应当是三项行动，并且各自落实到具体负责人。

如果「投诉者」这一行在您的表格中占据主导地位，接下来的问题就是：该选哪个司法管辖区，以及如何核实服务商就此做出的种种说法——六个问题，一个下午即可答完。如果它压根没有出现在您的前五名之中，您很可能并不需要我们，而这对一个小时的工作来说，已经是相当好的结果。

由负责运维该平台的工程师撰写，并已于 1 个月前 复核。如果这里有错误或内容已过时，请通过客户面板告知我们——目前约有一半的内容更新正是这样来的。