网络威胁建模创建应用程序概况图包括哪些任务

网络威胁建模创建应用程序概况图包括以下这些任务：

• 识别物理拓扑结构。应用程序的物理拓扑结构描述了应用程序连接和部署的形式，明确程序模块是一个内部应用程序、部署在非军事区还是被托管在云平台上。

• 识别网络拓扑结构，包括确定软件所处的逻辑层次，确定应用程序所包含的组件、服务、协议和端口等。

• 识别应用程序使用者中的人类和非人类角色，如客户、销售代理、系统管理员及数据库管理员等。

• 确定应用程序处理的数据元素，如产品信息、客户信息等。

• 确定应用程序的安全机制，包括在已识别数据元素基础上确定角色的访问权限和优先权。访问权限通常包括创建、读取、更新或删除等权限。其他安全机制包括：输入和数据验证、身份验证、授权、配置管理、敏感数据、会话管理、加密、参数处理、异常管理、审核与记录等。

• 确定软件采用的技术及其主要功能。这有助于开发人员在稍后的威胁建模活动中将主要精力放在特定技术的威胁上，还有助于开发人员确定正确的和最适当的威胁缓解技术。需要确定的技术项包括以下几个。