SoK：用于威胁建模方法和工具的质量模型

《Computers & Security》：SoK: A quality model for threat modeling methods and tools

　　

摘要

威胁建模是指在软件架构和设计层面主动、系统地评估威胁和风险的实践，被视为安全软件工程的重要组成部分。近期的自动化努力，尤其是涉及大型语言模型（llm）的研究，在提升这些活动的整体成本效益、效率，进而提高其实用可行性方面显示出巨大潜力。部分原因在于这些发展，部分原因在于威胁建模方法和工具的日益多样化，目前对威胁建模工作应具备的目标质量缺乏清晰认识。本文作为一篇SoK（系统知识综述）论文，通过梳理学术文献中用于评估威胁建模方法、框架和工具的不同评估方法、标准和指标，弥补了这一空白。我们识别并调研了29项实证研究，特别关注其实证方法。基于这一综合分析，我们构建了一个威胁建模质量模型，即一种将多种质量因素和维度整合为独立且层级化的知识结构的分类法。该质量模型通过对以下两个方面的综合差距分析进行验证：（i）威胁建模宣言，以及（ii）一组12项较新发表的科学研究验证集。基于我们的总体发现与结果，我们最后反思了llm自动化在威胁建模中的未来角色，并强调了迫切需要发布和验证的应用案例、通用实证基准以及规范化的威胁建模数据集。

引言

威胁建模（Shostack, 2014, The OWASP Foundation, 2025, Braiterman et al., 2020）涉及在软件设计和架构层面对威胁和风险进行系统且全面的评估，被视为安全软件开发过程中已确立且不可或缺的组成部分。目前，对"威胁建模"一词的解释——以及对采用威胁建模方法和工具的期望——因上下文而异，存在很大差异。它涵盖了一系列方法、框架和工具（Xiong and Lagerstr?m, 2019, Shevchenko et al., 2018a, Van Landuyt et al., 2024, Granata and Rak, 2024），其中一些更偏向于需求工程，而另一些则更紧密地融入软件开发过程（例如，以代码为中心的方法，Van Landuyt et al., 2024）。一些方法专门针对特定应用领域（Kwarteng and Cebe, 2024, Rodrigues et al., 2022, Schlegel et al., 2015），而另一些则保持通用性，适用范围广泛。一项针对开源开发者的访谈研究（Kaur et al., 2025）表明，威胁建模从业者仍难以采用正式或结构化的技术，不得不反复诉诸临时性方法。

这种威胁建模方法、框架和工具的多样性在科学评估这些方法和工具时也显而易见。对威胁建模工具和方法的实证评估已被证明是复杂且耗时的，部分原因是科学评估某些更为主观的标准本身具有固有难度，部分原因是存在的权衡取舍（例如，时间和成本效益与全面性之间的权衡）（Labunets et al., 2014, Yskout et al., 2020）。科学评估工作往往侧重于特定的标准和因素，因此学术前沿也呈现出多种形式。由于上述原因，我们对威胁建模质量的总体认识已变得不完整且模糊。这阻碍了可比性，最终妨碍了从业者做出明智选择并更广泛地采用相关方法、框架和工具。随着各界对在设计阶段投入认真努力以确保安全和隐私的必要性的认识和共识不断增强（The OWASP Foundation, 2025, Gartner Research, 2024），以及新兴威胁建模自动化能力（如基于大型语言模型（llm）的能力）的采用，这一问题变得更加重要。

因此，本研究的主要目标是获得对威胁建模质量更完整、更精确的理解和特征描述，即识别并调和被认为与判断某一威胁建模方法、框架或工具是否"适用"相关的因素。此外，我们致力于将这些因素整合为一个全面的综合概念模型，即一个质量模型（Franch and Carvallo, 2002, Singh and Kannojia, 2013）。

我们采用三重研究方法论。首先，我们调研关于威胁建模方法、框架和工具实证评估的学术文献。这项描述性文献综述结合了（i）结构化搜索查询与（ii）从更广泛的威胁建模文献中进行的文献人工筛选，并涵盖了游戏化、自动化威胁建模以及llm在威胁建模中的应用等工作。我们关注所使用的指标和标准，以及这些实证研究的类型、规模和范围。其次，基于这些结果，我们构建了一个威胁建模质量模型，即涵盖表明威胁建模方法、框架和工具"功能适应性"的具体质量方面的综合分类法。第三，我们通过将已建立的质量模型与以下内容进行全面的差距分析来验证该质量模型：（i）威胁建模宣言（Braiterman et al., 2020）中记录的价值、原则和模式，以及（ii）在验证集中选取的12项较新研究中应用的威胁建模方法和工具的实证评估。这些验证工作共同证明了质量模型在直接基于的学术文献范围之外的适用性和可推广性。

近期威胁建模方法和工具的转变涉及更多地使用生成式AI和llm技术（Mollaeefar et al., 2025, Van Landuyt et al., 2025a, Adams, 2023, Gadyatskaya and Papuc, 2023, Buseth et al., 2026）。基于研究结果，我们最后对未来的工作提供了思考，更具体地说，是关于llm支持和辅助的威胁建模工具的科学评估，并强调了当前缺乏经验证的科学数据集和规范化威胁建模案例所带来的挑战。

贡献声明。本工作迄今呈现了关于威胁建模方法和工具实证评估学术前沿的最全面综述。所提出的质量模型是一种独立且自成一体的工具，可用于恰当地界定、限定和调和未来的工具与方法开发工作，以及相关科学基准测试和评估工作。

本文结构如下。第2节提供了必要的背景。第3节阐述本工作的主要动机并概述研究方法。第4节详细介绍了描述性文献综述，并在第5节中由此推导出了威胁建模质量模型。第6节讨论了质量模型的验证，而第7节进一步讨论了研究结果。最后，第8节对全文进行了总结。

章节摘要

背景

第2.1节提供了威胁建模的必要背景知识。第2.2节则定义了质量模型作为本工作的核心知识工具类型。

研究动机与方法

第3.1节首先阐述本工作的动机。随后，第3.2节介绍了整体研究方法。

描述性文献综述

第一项研究活动旨在识别和综合当前涉及威胁建模（TM）方法和工具的实证评估的学术前沿，特别关注所评估的具体因素和标准。在本次文献综述中，我们更具体地回答了以下问题：

研究问题1
使用了哪些评估方法和指标，它们对哪些评估目标有所贡献？如适用，如何确立比较基准或标准

分类法：威胁建模质量模型

在进一步识别威胁建模（TM）评估指标和标准的基础上，我们现在构建威胁建模质量模型。第5.1节首先解释了建立该质量模型所使用的整体方法论。第5.2节随后展示了整体结构并定义了质量模型的各个元素。第5.3节最后将质量模型应用于文献集，并得出关于当前状态的额外描述性见解。

验证

我们通过两项互补活动来验证所构建的质量模型，两项活动均涉及通过差距或兼容性评估来评价质量模型的更广泛适用性和相关性。首先，第6.1节将质量模型与威胁建模宣言（Braiterman et al., 2020）中陈述的各项要求进行比较和对照。随后，第6.2节复制了我们在第4节中的文献检索方案，以识别更近期的研究，并

讨论

第7.1节首先讨论了整体的效度威胁。第7.2节随后将我们的工作置于威胁建模综述研究更广泛的格局中。第7.3节接着阐述了建立TM参考基准和规范化数据集的必要性，最后，第7.4节讨论了基于llm的TM方法和工具面临的挑战与机遇。

结论

随着人们对威胁建模（TM）作为安全开发生命周期基石活动的意识不断增强，许多TM方法和工具应运而生，每种方法都有其自身特性和差异化因素。这篇SoK论文综合了威胁建模（TM）方法和工具科学评估的学术前沿。我们定义了一个全面的TM评估质量模型，作为一种知识工具，用于梳理和总结评估中涉及的主要因素。

CRediT作者贡献声明

Dimitri Van Landuyt：概念构思、方法论、软件、数据整理、撰写——初稿、可视化、调查研究、指导、验证、撰写——审阅与编辑。Stef Verreydt：调查研究、数据整理。Mario Raciti：概念构思、调查研究。Jonah Bellemans：调查研究、数据整理。Anh-Duy Tran：调查研究、撰写——审阅与编辑。Majid Mollaeefar：调查研究。Laurens Sion：验证、数据整理。Silvio Ranise：指导。Giampaolo

生成式AI声明

本研究中未使用任何生成式AI工具，无论是核心研究活动还是支持写作环节。

利益冲突声明

作者声明不存在已知的可能影响本论文所述工作的竞争性经济利益或个人关系。

致谢

本研究由鲁汶大学（KU Leuven）研究基金资助。

Dimitri Van Landuyt|Stef Verreydt|Mario Raciti|Jonah Bellemans|Anh-Duy Tran|Majid Mollaeefar|Laurens Sion|Silvio Ranise|Giampaolo Bella