與安全相對應的，是威脅。我們要保障安全，就需要了解威脅是什麼。
STRIDE模型
微軟的STRIDE模型是常用的威脅模型之一。STRIDE分別代表着身份欺騙（Spoofing identity）、篡改數據（Tampering with data）、否認性（Repudiation）、信息泄露（Information disclosure）、拒絕服務（Denial of service）、提權（Elevation of privilege）。
STRIDE模型針對的屬性、定義和例子參考如表1-1所示。
| 針對的屬性 | 威脅 | 定義 | 例子 |
|---|---|---|---|
| 認證 | 身份欺騙 | 冒充他人或者他物 | A用戶使用B用戶的賬號和密碼登錄使用系統 |
| 完整性 | 篡改數據 | 修改數據或者代碼 | 未授權的情況下，惡意修改了數據庫中的字段數值 |
| 不可否認性 | 否認性 | 抵賴，聲稱沒有做 | 我沒有發送那封郵件 |
| 機密性 | 信息泄露 | 把信息展示給未授權去看的人 | 航空旅客的身份信息被傳播在互聯網上 |
| 可用性 | 拒絕服務 | 使服務對已授權的用戶不可用 | 使網站癱瘓，讓已授權用戶無法進行線上交易 |
| 授權 | 提權 | 在未授權的情況下，把自己的權限提升到更高的水平 | Linux普通用戶利用系統漏洞變成了root用戶 |
在分析面對的威脅時，我們應該利用STRIDE模型來進行分門別類的總結梳理，這樣才能更完整清晰的整理出所有的潛在威脅，並制定出相應的解決方案。
常見的安全威脅來源
如圖1-3所示，在實際的安全工作中，我們常常見到的信息安全所面對的威脅來自於多個方面：
-
地震、雷雨、失火、供電中斷、網絡通信故障都屬於破壞物理安全的例子，它們直接破壞了信息的可用性，導致業務中斷無法繼續向合法授權用戶提供服務。
-
系統漏洞和Bug可能會同時破壞機密性、完整性和可用性。
-
內部人員威脅往往是很多組織在安全體系建設中未加以足夠重視的部分，而事實表明，內部人員因誤操作或者惡意利用職權而導致的信息泄露和破壞的案例不計其數。IBM調查報告中指出，在2015年，60%的攻擊是由內部人直接或者間接發起的。內部人員造成威脅的個人因素主要有：出於貪婪或經濟利益的需要；因工作原因對公司和上級領導心懷不滿；即將跳槽到另一個組織；希望取悅他人；個人生活不得意導致工作行爲異常。
-
黑客滲透是顯而易見的威脅，他們可能會利用系統漏洞和Bug進行攻擊，也可能會輔助以社會工程（Social Engineering）的方式進行攻擊；在滲透完成後，黑客往往通過在系統中植入木馬後門（包括Rootkit等）進行隱祕的長期控制。
-
病毒和蠕蟲的散播讓信息基礎設施的資源被惡意利用，還可能導致信息的非法泄露和被惡意篡改。
-
計算機中的“應用邏輯炸彈”是指在特定邏輯條件滿足時，實施破壞的計算機程序，該程序觸發後造成計算機數據丟失、計算機不能從硬盤或者軟盤引導，甚至會使整個系統癱瘓，並出現物理損壞的虛假現象。
-
實施拒絕服務（Denial of Service）攻擊，包括其高級形式–分佈式拒絕服務（Distributed Denial of Service）攻擊，黑客的目標是讓信息系統無法正常工作提供服務，以達到其背後不可告人的目的（例如商業或者政治目的）。