小型平台的威脅建模

威脅建模素有企業儀式之名，滿是沒有人會看的圖表。但情況不必如此。對小型平台而言，真正有用的版本只需一小時，產出一份排序清單，而其最主要的產出，是了解基礎設施選擇究竟會影響哪些風險——因為對其中多數風險而言，誠實的答案是：完全不會。

順序比完整性更重要

典型的失誤，是列出一長串可能出錯的事，並將每一項都視為同等急迫。這樣做只會造成癱瘓，最終仍憑感覺做出決定。一份排序過的七項清單，價值高於一份鉅細靡遺的四十項清單，因為無論如何，實際採取行動的都只會是前三項，其餘的永遠不會被處理。

排序依據應為可能性 × 對您造成的成本，而非情境聽起來有多駭人。國家級對手是任何清單上最令人恐懼的一項，但對幾乎所有小型平台而言，卻是可能性最低的一項——反觀前約聘人員洩漏憑證，聽起來平淡無奇，卻極為常見，且往往後果慘重。

七種對手，依可能性排序

依可能性排序的對手，以及各自的緩解方式

對手	可能性	主機代管是否有幫助	實際的緩解方式
您，在不順的一天	必然	否	確實還原測試過的備份，以及任何牽涉驗證或 DNS 的變更流程。造成您最嚴重停機事故最可能的原因，就是您自己。
自動化掃描	持續	否	修補漏洞、不使用密碼驗證、不使用預設憑證。這屬於背景輻射；並非針對您個人而來，且永不停止。
憑證外洩	高	否	硬體式雙重驗證、範圍受限的 API 權杖，以及在人員離職當天而非該季結束後才撤銷存取權限。
遞交表單的申訴人	高	是	這是主機代管的司法管轄區真正能發揮作用之處：光憑一封信件，是否就能讓您的服務下線。
流量型攻擊	中等	部分	上游過濾，特別是選擇會實際過濾流量、而非為了自保直接將您列入空路由的服務商。
針對性入侵者	低	否	網路區隔、最小權限原則、靜態資料加密，以及將日誌存放在入侵者無法竄改之處。
國家級行為者	極低	部分	司法管轄區決定的是法律途徑，而非技術途徑。如果這確實屬於您的威脅模型，該尋求的是法律諮詢，而非主機代管方案。

主機代管的選擇會影響哪些

七項當中只有兩項，加上部分影響第三項。這個比例本身，就是這項練習最有用的產出，也是為什麼在選擇服務商之前先做這項練習，比任何比較表都更能省錢的原因。

一小時版本

1. 列出您實際持有的東西（10 分鐘）。不是系統——是資料。使用者電子郵件地址、付款紀錄、私訊內容、上傳的檔案、其他服務的憑證。寫下哪些遺失的後果最嚴重、哪些外洩的後果最嚴重；兩者很少是同一項。
2. 列出誰會想要各項資料（10 分鐘）。要具體。「駭客」不能算是一個對手；「購買外洩憑證資料以轉售帳戶的人」才算，而這意味著需要不同的防禦方式。
3. 依可能性 × 成本排序（10 分鐘）。不必理會聽起來有多戲劇化。平淡無奇的項目才是主流。
4. 針對前三項，寫下第一小時的因應做法（20 分鐘）。也就是您在各項情況發生後，於最初六十分鐘內會採取的行動。若答不出來，這本身就是一項發現——其價值甚至高於排序本身。
5. 標出哪些會受基礎設施選擇影響（10 分鐘）。通常是前五項中的兩項。現在您就知道，自己的主機代管決策實際上換來了什麼。

當結構性變化發生時再重做一次——新的資料類型、新的整合、有人離職——而非按照固定排程進行。以行事曆為依據的檢視容易被跳過；以事件為依據的檢視則會確實執行，因為眼前就有明確的理由。

讓整個練習失去意義的三個錯誤

只針對自己覺得有趣的對手建模。思考國家級能力，遠比思考公開儲存庫中外洩的 API 權杖有趣得多。但您認識的人當中，幾乎每個人都遇過後者。誠實排序，平淡無奇的項目就會勝出，而這正是重點所在。

把控制措施誤認為成果。「我們有使用加密」在您能說明它擋得住什麼、擋不住什麼之前，都稱不上是一項緩解措施。執行中伺服器的全磁碟加密，能防範硬碟被帶出機房；但對已在正式運作中的機器上取得 shell 的入侵者毫無作用，因為該磁碟區早已處於解鎖狀態。

產出的是一份文件，而非一項決定。如果做完這項練習後，什麼都沒有改變——沒有撤銷任何權限、沒有測試任何備份、沒有向服務商提出任何問題——那它就不是一份威脅模型，只是一個下午的時間。應有的產出，是三項各自指定負責人的行動。

如果申訴人那一列是您表格中最主要的項目，下一個問題就是該選擇哪個司法管轄區，以及如何驗證服務商對此的說法—— 六個問題，一個下午即可回答完畢。如果它完全沒有出現在您的前五項清單中，您可能根本不需要我們，而這對一小時的工作而言，已是相當不錯的成果。

由實際維運平台的工程師撰寫，並於 1 個月前 重新檢閱。如果這裡有任何錯誤或已經過時，歡迎透過客戶面板告訴我們，這裡大約一半的內容正是這樣來的。