Модель угроз STRIDE

Руководство по автоматическому построению модели угроз на основе методологии STRIDE из данных графа свойств кода (CPG). Соответствует требованиям ГОСТ Р 56939-2024, процесс 5.7.

Содержание¶

• Обзор
• Методология STRIDE
• Архитектура
• Построитель DFD
• Детектор границ доверия
• Классификатор STRIDE
• Рекомендатель мер противодействия
• Инкрементальный модуль обновления
• Экспортёр
• Использование CLI
• Конечные точки API
• Инструменты MCP
• Соответствие ГОСТ Р 56939-2024
• Конфигурация
• Модели данных
• Отображение CWE на STRIDE
• Форматы экспорта

Обзор¶

Модуль моделирования угроз CodeGraph автоматически строит модель угроз из CPG проекта. Анализ включает:

1. Построение диаграммы потоков данных (DFD) из точек входа, хранилищ данных и внешних сущностей CPG.
2. Обнаружение 5 типов границ доверия эвристическими методами.
3. Классификацию угроз по 6 категориям STRIDE на основе отображения 43 CWE и результатов системы гипотез.
4. Формирование мер противодействия (18 базовых + CWE-специфичные).
5. Инкрементальное обновление при изменении кодовой базы.
6. Экспорт в форматы JSON, Markdown (русский/английский), ГОСТ, SARIF 2.1.0, Mermaid DFD.

Исходный код: src/security/threat_model/.

Методология STRIDE¶

STRIDE – классификация угроз, разработанная Microsoft. Каждая буква аббревиатуры обозначает категорию угрозы:

CodeGraph автоматически относит каждую найденную уязвимость к одной или нескольким категориям STRIDE через отображение CWE (43 записи).

Архитектура¶

Модуль состоит из 7 файлов в каталоге src/security/threat_model/:

src/security/threat_model/
    __init__.py              # Реэкспорт моделей
    models.py                # Модели данных: ThreatModel, STRIDEThreat, DataComponent, ...
    dfd_builder.py           # Построитель DFD из CPG
    trust_boundary.py        # Детектор границ доверия
    stride_classifier.py     # Классификатор угроз STRIDE
    mitigation.py            # Рекомендатель мер противодействия
    incremental.py           # Инкрементальное обновление модели
    exporter.py              # Экспорт (JSON, Markdown, ГОСТ, Mermaid)

Последовательность построения модели угроз:

CPG (DuckDB)
    |
    v
DFDBuilder.build()              --> компоненты + потоки данных
    |
    v
TrustBoundaryDetector.detect()  --> границы доверия + пометка пересечений
    |
    v
STRIDEClassifier.classify()     --> список угроз STRIDE
    |
    v
MitigationRecommender.recommend_for_model()  --> меры противодействия
    |
    v
ThreatModelExporter.to_*()      --> JSON / Markdown / ГОСТ / SARIF / Mermaid

Построитель DFD¶

Файл: src/security/threat_model/dfd_builder.py

Класс DFDBuilder извлекает диаграмму потоков данных из CPG:

• Процессы (ComponentType.PROCESS): модули с точками входа из таблицы nodes_method (поле is_entry_point = true). Группировка по файлам.
• Хранилища данных (ComponentType.DATA_STORE): определяются через категории приёмников помечённых данных (database, file, cache, log, network_send).
• Внешние сущности (ComponentType.EXTERNAL_ENTITY): определяются через категории источников помечённых данных (network, user_input, file_system).
• Потоки данных (DataFlow): извлекаются из рёбер вызовов (edges_call) между точками входа, а также путём связывания внешних сущностей с процессами.

Каждый компонент получает уровень доверия (TrustLevel):

Определение протокола потока данных выполняется автоматически на основе категории точки входа: http_handler -> http, grpc_handler -> grpc, network / socket -> tcp, websocket -> ws.

Источники и приёмники помечённых данных получаются из доменного модуля (DomainPluginV3.get_taint_sources() / get_taint_sinks()). При отсутствии доменного модуля используются встроенные значения по умолчанию.

Детектор границ доверия¶

Файл: src/security/threat_model/trust_boundary.py

Класс TrustBoundaryDetector обнаруживает 5 типов границ доверия:

Обнаружение выполняется в два этапа:

1. Эвристическое сопоставление: категории точек входа и имена методов сравниваются с индикаторами каждого типа границы.
2. Запрос CPG: дополнительный поиск в таблице nodes_method по шаблонам LIKE для индикаторных имён.

После обнаружения границ детектор помечает потоки данных, пересекающие границы (DataFlow.crosses_trust_boundary = True). Критерии пересечения:

• Различие уровней доверия источника и приёмника.
• Источник и приёмник находятся по разные стороны явной границы (один во inner_components, другой в outer_components).

Индикаторы настраиваются через конфигурацию (см. Конфигурация).

Классификатор STRIDE¶

Файл: src/security/threat_model/stride_classifier.py

Класс STRIDEClassifier генерирует список угроз из нескольких источников:

1. Результаты системы гипотез (CWE): каждая находка с идентификатором CWE отображается в одну или несколько категорий STRIDE через словарь CWE_TO_STRIDE (43 записи).
2. Находки шаблонов CPG (cpg_pattern_findings): SQL-запрос к таблице результатов сканирования шаблонов, затем отображение через CWE.
3. Вывод из пересечений границ доверия: нешифрованные потоки через сетевую границу, пользовательский ввод через границу, учётные данные без слоя аутентификации.
4. Вывод из незащищённых точек входа: сетевые точки входа, не находящиеся внутри границы аутентификации.

После сбора выполняется дедупликация по ключу (категория, компонент, список CWE) и ранжирование по убыванию оценки риска (risk_score = severity * likelihood).

Весовые коэффициенты оценки риска:

Рекомендатель мер противодействия¶

Файл: src/security/threat_model/mitigation.py

Класс MitigationRecommender формирует рекомендации на двух уровнях:

Категорийные меры (18 записей, по 3 на категорию STRIDE):

CWE-специфичные меры (14 записей): дополнительные рекомендации для конкретных CWE (CWE-89, CWE-79, CWE-78, CWE-120, CWE-287, CWE-200, CWE-352, CWE-502, CWE-319, CWE-400, CWE-862, CWE-787, CWE-416, CWE-476).

Приоритизация по критичности угрозы: - critical / high: все меры. - medium: первые 4 меры. - low: первые 2 меры.

Инкрементальный модуль обновления¶

Файл: src/security/threat_model/incremental.py

Класс IncrementalThreatModelUpdater вычисляет разницу (ThreatModelDelta) между предыдущей и новой моделью угроз (ГОСТ Р 56939-2024, п. 5.7.2.4):

• Добавленные угрозы: присутствуют в новой модели, отсутствуют в старой.
• Удалённые угрозы: присутствуют в старой модели, отсутствуют в новой.
• Изменённые угрозы: совпадение по ID, но изменилась критичность, статус, категория, список CWE или затронутый компонент.
• Добавленные / удалённые компоненты: аналогично.

Результат: объединённая модель (ThreatModel) с метаданными о предыдущей версии, списком изменённых файлов и сводкой изменений.

Экспортёр¶

Файл: src/security/threat_model/exporter.py

Класс ThreatModelExporter поддерживает форматы:

Диаграмма Mermaid использует следующие обозначения:

• Процессы: (имя) – скруглённый прямоугольник.
• Хранилища данных: [(имя)] – цилиндр.
• Внешние сущности: [/имя\] – трапеция.
• Потоки через границу доверия: пунктирная стрелка -.->.
• Шифрованные потоки: подпись encrypted.
• Границы доверия: подграфы (subgraph).

Использование CLI¶

Генерация модели угроз¶

python -m src.cli threat-model generate [--db ПУТЬ] [--format json|markdown|gost|sarif] \
    [--language ru|en] [--output ФАЙЛ] [--min-severity low|medium|high|critical]

Пример:

# Полная модель в формате ГОСТ (русский)
python -m src.cli threat-model generate --format gost --language ru --output threat_model_gost.md

# JSON для автоматической обработки
python -m src.cli threat-model generate --format json --output threat_model.json

# Только критические и высокие угрозы
python -m src.cli threat-model generate --min-severity high --format markdown

Инкрементальное обновление¶

python -m src.cli threat-model update [--db ПУТЬ] [--previous ФАЙЛ] \
    [--changed-files ФАЙЛ1,ФАЙЛ2,...] [--output ФАЙЛ]

Пример:

# Обновление после изменений
python -m src.cli threat-model update --previous threat_model.json \
    --changed-files src/api/main.py,src/auth/handler.py --output updated_model.json

Генерация DFD¶

python -m src.cli threat-model dfd [--db ПУТЬ] [--format mermaid|json] [--output ФАЙЛ]

Пример:

# Диаграмма потоков данных в формате Mermaid
python -m src.cli threat-model dfd --format mermaid --output dfd.mmd

Список угроз¶

python -m src.cli threat-model list [--db ПУТЬ] [--category spoofing|tampering|...] \
    [--severity critical|high|medium|low] [--status open|mitigated]

Пример:

# Все открытые угрозы категории «Повышение привилегий»
python -m src.cli threat-model list --category elevation --status open

# Критические угрозы
python -m src.cli threat-model list --severity critical

Конечные точки API¶

7 конечных точек REST API по пути /api/v1/security/threat-model/:

Примеры запросов¶

Генерация модели:

curl -X POST http://localhost:8000/api/v1/security/threat-model/generate \
    -H "Content-Type: application/json" \
    -d '{"format": "json", "language": "ru", "min_severity": "low"}'

Получение DFD в формате Mermaid:

curl http://localhost:8000/api/v1/security/threat-model/dfd?format=mermaid

Фильтрация угроз по категории и критичности:

curl "http://localhost:8000/api/v1/security/threat-model/threats?category=tampering&severity=critical"

Оценка соответствия ГОСТ:

curl http://localhost:8000/api/v1/security/threat-model/compliance

Ответ:

{
  "compliance_score": 0.72,
  "total_threats": 18,
  "mitigated_threats": 13,
  "gost_reference": "GOST R 56939-2024, 5.7"
}

Инструменты MCP¶

Два инструмента MCP для использования из OpenCode или других MCP-клиентов:

codegraph_threat_model_generate¶

Генерация модели угроз STRIDE.

Параметры:

Пример вызова:

{
  "tool": "codegraph_threat_model_generate",
  "arguments": {
    "format": "markdown",
    "language": "ru",
    "min_severity": "medium"
  }
}

codegraph_threat_model_dfd¶

Получение диаграммы потоков данных.

Параметры:

Соответствие ГОСТ Р 56939-2024¶

Модуль реализует требования процесса 5.7 «Моделирование угроз» ГОСТ Р 56939-2024. Формат экспорта gost генерирует артефакты для пунктов 5.7.3.1–5.7.3.7:

Свойство ThreatModel.compliance_score вычисляет долю угроз со статусом mitigated в общем числе угроз – показатель зрелости нейтрализации.

Конфигурация¶

Настройки в файле config.yaml в разделе threat_model::

threat_model:
  methodology: stride
  auto_generate_on_import: true
  include_inferred_threats: true
  min_severity_for_report: low
  trust_boundary_network_indicators:
    - recv
    - accept
    - listen
    - http_handler
    - grpc_handler
  trust_boundary_auth_indicators:
    - authenticate
    - authorize
    - check_permission
    - verify_token
  trust_boundary_ffi_indicators:
    - cgo_call
    - ctypes
    - cffi
    - jni
  severity_weight_critical: 10
  severity_weight_high: 7
  severity_weight_medium: 4
  severity_weight_low: 1
  likelihood_weight_high: 3
  likelihood_weight_medium: 2
  likelihood_weight_low: 1

Доступ из кода через ThreatModelConfig в src/config/unified_config.py:

from src.config import get_unified_config

cfg = get_unified_config()
cfg.threat_model.methodology                       # "stride"
cfg.threat_model.auto_generate_on_import           # True
cfg.threat_model.include_inferred_threats           # True
cfg.threat_model.min_severity_for_report           # "low"
cfg.threat_model.trust_boundary_network_indicators # ["recv", "accept", ...]
cfg.threat_model.severity_weight_critical          # 10

Описание параметров:

Модели данных¶

Файл: src/security/threat_model/models.py

ThreatModel¶

Корневая модель – совокупная модель угроз проекта:

Свойства: threat_count_by_category, threat_count_by_severity, compliance_score.

STRIDEThreat¶

Запись об отдельной угрозе:

Свойство risk_score: произведение весов критичности и вероятности.

ThreatModelDelta¶

Разница между двумя версиями модели:

Отображение CWE на STRIDE¶

Словарь CWE_TO_STRIDE в файле src/security/threat_model/stride_classifier.py содержит 43 записи. Некоторые CWE отображаются в несколько категорий STRIDE:

Форматы экспорта¶

JSON¶

Полная сериализация модели с вложенными объектами. Пригоден для автоматической обработки, сравнения версий и хранения.

Markdown¶

Структурированный отчёт с таблицами, диаграммой Mermaid DFD, перечнем границ доверия, списком угроз и рекомендациями. Поддерживает русский и английский языки.

ГОСТ¶

Артефакты в соответствии с ГОСТ Р 56939-2024: модель угроз (5.7.3.1), перечень мер (5.7.3.2), описание поверхности атаки (5.7.3.3), перечень целей исследований (5.7.3.4). Разделы отделены горизонтальной чертой.

SARIF 2.1.0¶

Стандартный формат обмена результатами статического анализа. Совместим с инструментами визуализации (GitHub Code Scanning, VS Code SARIF Viewer).

Mermaid DFD¶

Диаграмма потоков данных в текстовом формате Mermaid. Границы доверия отображаются как подграфы. Потоки, пересекающие границы, отмечены пунктиром.

Пример:

graph LR
    subgraph tb_network["Network Boundary"]
        proc_api_main(api/main)
    end
    ext_network[/Network/]
    store_database[(Database)]
    ext_network -.->|http user_input| proc_api_main
    proc_api_main -->|tcp| store_database