Threat modeling
Gestructureerde analyse van beveiligingsdreigingen voor een systeem, uitgevoerd in de ontwerpfase voordat er code bestaat.
Het resultaat is een lijst met dreigingen, maatregelen en een op risico gerangschikte prioritering. Gangbare raamwerken zijn STRIDE en DREAD (beide van Microsoft), PASTA (procesgericht), Trike (grotendeels geautomatiseerd) en MITRE ATT&CK als kennisbank. Het uitgangspunt is een DFD (Data Flow Diagram): teken het diagram, markeer de vertrouwensgrenzen, koppel aan elke datastroom de mogelijke STRIDE-dreigingen en ontwerp daar maatregelen bij.
OWASP Threat Dragon is een open-sourcetool voor dit werk, en Threat Modeling van Adam Shostack geldt als standaardwerk. Tegenwoordig wordt ook AI ingezet voor een eerste concept, dat daarna door een mens wordt beoordeeld. Standaardpraktijk bij organisaties die hun beveiliging serieus nemen.