AI+開發(fā)安全 | 金融行業(yè)基于LLM威脅建模的實踐
摘要： 金融行業(yè)基于LLM威脅建模實踐
然而，隨著這座"鐘表"變得越來越精密，傳統(tǒng)的威脅建模方法似乎力不從心了。我們面臨的挑戰(zhàn)就像是在解一道越來越復(fù)雜的謎題：
●信息如洪水般洶涌而來，系統(tǒng)架構(gòu)、業(yè)務(wù)邏輯和技術(shù)棧的復(fù)雜性讓人應(yīng)接不暇；
●金融系統(tǒng)不斷更新迭代，而威脅場景也在悄然變化，傳統(tǒng)方法難以跟上這個節(jié)奏；
●需要既懂安全又懂金融的"全能舵手"，可惜這樣的人才如鳳毛麟角；
●手動威脅建模就像是用放大鏡檢查每個齒輪，耗時費力，難以應(yīng)對龐大復(fù)雜的系統(tǒng)；
●不同的分析師可能會得出不同的結(jié)論，這讓決策變得舉棋不定。
面對這些挑戰(zhàn)，一個全新的解決方案正在浮出水面——大型語言模型（LLM）。就像是給威脅建模配備了一個超級助手，LLM憑借其強大的自然語言處理能力和知識整合能力，有望為這個領(lǐng)域帶來革命性的變化。
本文將帶您深入探討LLM在金融行業(yè)信息系統(tǒng)威脅建模中的應(yīng)用。我們將分享實踐經(jīng)驗和最佳做法，通過生動的案例展示這種創(chuàng)新方法。當(dāng)然，我們也會坦誠地討論在實施過程中可能遇到的坎坷，以及如何避免數(shù)據(jù)輸入的不準(zhǔn)確性，提示詞歧義，提高輸出效率等。通過這篇文章，我們希望為金融行業(yè)的安全專家們打開一扇新的大門，提供一個全新的視角和強大的工具。在這個日新月異的網(wǎng)絡(luò)安全世界里，讓我們一起探索如何更高效、更有效地應(yīng)對挑戰(zhàn)，為金融安全筑起更堅實的防線。
大型語言模型（LLM）在威脅建模中展現(xiàn)出多方面的優(yōu)勢，對傳統(tǒng)威脅建模進行補充。以下是LLM在威脅建模過程中的主要優(yōu)勢：
在復(fù)雜的金融系統(tǒng)中，文檔、代碼和日志的數(shù)量龐大，人工處理不僅耗時，還容易出錯。LLM能夠快速分析并理解大量文本信息，從而提高威脅識別的效率和全面性。
●文檔分析：LLM可以迅速閱讀并提取系統(tǒng)架構(gòu)、API和用戶手冊等文檔中的關(guān)鍵信息，有利于威脅分析。
●代碼審查：通過對源代碼的分析，LLM能夠識別潛在的安全漏洞，如未驗證的輸入和不安全的加密算法等。
實踐經(jīng)驗表明，使用LLM進行初步信息處理能夠?qū)⒎治鰰r間縮短50%-70%，同時提高信息提取的完整性。
LLM通過學(xué)習(xí)大量的安全漏洞和攻擊模式，展現(xiàn)出卓越的模式識別能力，能夠識別出人類分析師可能忽視的潛在威脅。
●新型威脅識別：LLM可以將已知攻擊模式與系統(tǒng)特征結(jié)合，推測出新的、尚未廣泛認(rèn)知的威脅。
●關(guān)聯(lián)分析：通過理解不同系統(tǒng)組件之間的交互，LLM能夠識別復(fù)雜的跨(系統(tǒng))服務(wù)攻擊路徑。
實踐中，我們發(fā)現(xiàn)LLM能夠識別出約20%-30%的人類分析師可能遺漏的潛在威脅。
LLM具備理解金融業(yè)務(wù)特殊性的能力，能夠在威脅建模中考慮行業(yè)特定的風(fēng)險和合規(guī)要求。
●行業(yè)知識整合：LLM可以結(jié)合金融行業(yè)特定知識，如監(jiān)管要求和常見信息安全規(guī)范，提供更有針對性的威脅分析。
●業(yè)務(wù)影響評估：通過理解業(yè)務(wù)流程，LLM能夠更準(zhǔn)確地評估潛在威脅對業(yè)務(wù)的影響。
●合規(guī)性考量：LLM可以將威脅分析與行業(yè)標(biāo)準(zhǔn)（如PCI、GDPR等）結(jié)合，確保威脅模型符合合規(guī)要求。
我們的經(jīng)驗表明，利用LLM的上下文理解能力，可以使威脅模型與業(yè)務(wù)需求的匹配度提高約40%。
網(wǎng)絡(luò)安全領(lǐng)域的威脅格局不斷變化，LLM通過持續(xù)學(xué)習(xí)保持威脅模型的時效性。
●實時更新：定期接入最新的威脅情報和安全研究，能夠持續(xù)更新其知識庫。
●適應(yīng)性強：LLM能夠快速學(xué)習(xí)并適應(yīng)新的攻擊技術(shù)和防御策略，保持威脅模型的前沿性。
實踐表明，定期更新的LLM模型能將威脅識別的準(zhǔn)確率提高15%-25%，特別是在識別新興威脅方面。
LLM能夠提供一致的分析方法，減少人為因素帶來的差異。
●標(biāo)準(zhǔn)化流程：LLM按預(yù)定義標(biāo)準(zhǔn)和流程進行分析，確保不同系統(tǒng)或時間的分析結(jié)果具可比性。
●客觀評估：LLM不受個人偏見或經(jīng)驗的限制，能夠提供更客觀的威脅評估。
●可解釋性：先進的LLM模型能夠詳細(xì)解釋其分析過程和結(jié)論，增強結(jié)果的可信度和可審核性。
在實際應(yīng)用中，使用LLM進行威脅建模可以將不同分析師之間的結(jié)果差異減少約60%，顯著提高威脅評估的一致性。
以下我們將介紹一種基于LLM的、簡單可落地的威脅建模方法。將LLM的強大能力與結(jié)構(gòu)化的威脅建模流程相結(jié)合，提供了一個實用的框架，適用于金融行業(yè)的信息系統(tǒng)安全分析。
我們設(shè)計了以下基于LLM的威脅建模流程，每個步驟都包含了具體的LLM提示示例：
1.1系統(tǒng)描述輸入：
●安全工程師輸入待評估系統(tǒng)的簡要描述，包括主要功能、數(shù)據(jù)流、技術(shù)棧等。
●LLM提示詞參考：你作為一個安全工程師，現(xiàn)在需要對公司開發(fā)的系統(tǒng)進行威脅建模，系統(tǒng)描述如下：XXXX請詳細(xì)描述當(dāng)前金融交易系統(tǒng)的主要組件、功能和數(shù)據(jù)流。
1.2資產(chǎn)識別：
●LLM分析系統(tǒng)描述，識別關(guān)鍵資產(chǎn)。
●LLM提示詞參考：基于上述系統(tǒng)描述，列出所有關(guān)鍵資產(chǎn)，并簡要說明每個資產(chǎn)的重要性。
1.3威脅識別：
●對每個資產(chǎn)，使用STRIDE模型進行威脅識別。
●LLM提示詞參考：對于[資產(chǎn)名稱]，使用STRIDE模型識別可能存在的安全威脅。每種類型至少列出一個具體威脅。
1.4攻擊面分析：
●LLM分析系統(tǒng)架構(gòu)，識別潛在的攻擊面。
●LLM提示詞參考：分析系統(tǒng)架構(gòu)，列出所有可能的攻擊入口點，包括外部接口和內(nèi)部系統(tǒng)組件間的交互。
1.5風(fēng)險評估：
●對識別出的每個威脅進行風(fēng)險評估。
●LLM提示詞參考：評估以下威脅的可能性和潛在影響，給出風(fēng)險等級（高/中/低）：[威脅列表]
1.6緩解策略建議：
●針對高風(fēng)險威脅，提供緩解策略建議。
●LLM提示詞參考：針對以下高風(fēng)險威脅，分別提供3-5個可能的緩解策略：[高風(fēng)險威脅列表]
●鼓勵安全人員與LLM進行多輪對話，深入探討每個環(huán)節(jié)。
●示例：在威脅識別后，可以要求LLM進一步解釋某個特定威脅的細(xì)節(jié)。
●LLM的輸出應(yīng)被視為建議，最終決策仍由安全專家做出。
●分析師應(yīng)基于專業(yè)判斷修正或補充LLM的輸出。
●在對話過程中保持上下文，確保LLM理解整個系統(tǒng)背景。
●示例提示：請記住之前討論的系統(tǒng)架構(gòu)和已識別的威脅，現(xiàn)在我們來討論[新話題]。
●定期與安全團隊一起審查LLM的輸出，確保準(zhǔn)確性和相關(guān)性。
●可以設(shè)置一個人工審核環(huán)節(jié)，驗證LLM識別的威脅和建議的緩解策略。
●在提示中引入金融行業(yè)特定的標(biāo)準(zhǔn)和法規(guī)。
●示例提示：考慮到PCI和GDPR的要求，針對客戶數(shù)據(jù)保護提出額外的安全建議。
為了確保威脅建模結(jié)果的一致性和可用性，在提示詞中可以要求LLM以特定格式輸出結(jié)果，主要是方便處理，也可以基于當(dāng)前業(yè)務(wù)需求，修改成方便整合處理的格式，或者直接輸出文檔：
1.資產(chǎn): [資產(chǎn)名稱]
2.威脅: [威脅描述]
3.STRIDE類別: [S/T/R/I/D/E]
4.可能性: [高/中/低]
5.影響: [高/中/低]
6.風(fēng)險等級: [嚴(yán)重/高/中/低]
7.緩解策略:
8.[策略1]
9.[策略2]
10.[策略3]
1.數(shù)據(jù)準(zhǔn)備
●確保提供給LLM的系統(tǒng)文檔全面且結(jié)構(gòu)化。
●建立和維護特定于金融行業(yè)的威脅和漏洞數(shù)據(jù)庫。
2.LLM fine-tuning：使用金融行業(yè)特定的安全數(shù)據(jù)對LLM進行微調(diào)，提高領(lǐng)域相關(guān)性。
3.持續(xù)更新：建立機制，不斷將新的威脅情報和最佳實踐納入LLM的知識庫。
4.隱私和合規(guī)性：
●嚴(yán)格控制輸入到LLM的敏感信息，確保符合數(shù)據(jù)保護法規(guī)。
●考慮使用本地部署的LLM解決方案，增強數(shù)據(jù)安全性。
實踐案例1：
基于LLM的智能威脅建模系統(tǒng)
比瓴科技作為軟件供應(yīng)鏈安全行業(yè)的引領(lǐng)者，瓴知-應(yīng)用安全威脅建模系統(tǒng)（TMA）也提供了基于LLM自動化威脅建模的能力，更進一步的降低使用成本，同時私有化的部署方式也能解決金融行業(yè)數(shù)據(jù)保密性的要求。
TMA系統(tǒng)采用了先進的LLM技術(shù),結(jié)合檢索增強生成(RAG)方法,無縫整合了比瓴科技在開發(fā)安全領(lǐng)域積累所形成的安全知識庫以及企業(yè)的私域知識，所有數(shù)據(jù)的訓(xùn)練均可在本地完成，不需要訪問互聯(lián)網(wǎng)。利用LLM對于自然語言的理解能力，從而實現(xiàn)上傳業(yè)務(wù)需求文檔即可自動化開展安全需求分析的功能，為用戶提供更為便捷、友好且跨域的威脅建模能力。
TMA系統(tǒng)通過以下步驟,為金融機構(gòu)提供全面的安全分析:
2.1智能文檔分析：系統(tǒng)能夠理解并提煉用戶提交的技術(shù)文檔,快速把握系統(tǒng)核心功能和架構(gòu)。
2.2自動資產(chǎn)識別：基于對系統(tǒng)的理解,AI能夠自動識別關(guān)鍵資產(chǎn),如用戶數(shù)據(jù)、交易信息等。
2.3全面威脅識別：結(jié)合金融行業(yè)特性,系統(tǒng)可以識別出常見和新興的安全威脅。
2.4智能風(fēng)險評估：通過考慮威脅的影響程度和發(fā)生可能性,系統(tǒng)能夠進行客觀的風(fēng)險評級。
2.5定制化緩解策略：針對每個識別出的高風(fēng)險威脅,系統(tǒng)都能提供具體可行的緩解建議。
2.6持續(xù)優(yōu)化建議：系統(tǒng)會根據(jù)行業(yè)動態(tài),提供持續(xù)改進的建議,確保安全措施始終保持最新。
用戶只需要在TMA系統(tǒng)中上傳已經(jīng)完成的業(yè)務(wù)需求文檔，TMA系統(tǒng)基于上文中所提到的流程自動對文檔內(nèi)容進行解析，幾分鐘內(nèi)就可完成威脅建模工作。這個過程不僅大大提高了效率，還因為AI的全面性和洞察力，發(fā)現(xiàn)了人類分析可能忽視的潛在風(fēng)險。
此外，用戶可以在使用TMA系統(tǒng)的任意頁面調(diào)起安全智答助手，既可以在編寫安全基線時將它當(dāng)做咨詢顧問，也可以在進行威脅建模時把它看成搜索引擎。智答助手能夠?qū)Π踩R庫中的數(shù)據(jù)進行綜合分析，結(jié)合項目需求，推理出潛在的安全漏洞和風(fēng)險點。它提供的不僅僅是風(fēng)險提示，更有針對性強的建議和洞察，幫助開發(fā)者在設(shè)計階段就規(guī)避風(fēng)險或讓風(fēng)險前置，提升應(yīng)用的安全性。
4.1TMA系統(tǒng)提供了可任意切換基礎(chǔ)模型的能力，避免基礎(chǔ)模型的重復(fù)建設(shè)；
4.2基于企業(yè)自有知識的自動訓(xùn)練，為金融行業(yè)的數(shù)據(jù)安全保駕護航；
4.3回答內(nèi)容不再泛泛而談，拒絕AI幻覺，給出合規(guī)依據(jù)；
4.4一鍵式自動化威脅建模能力，大幅降低使用門檻。
實踐案例2：某股份制銀行安全
開發(fā)能力提升建設(shè)項目
隨著信息技術(shù)的飛速發(fā)展和數(shù)字化轉(zhuǎn)型的不斷深入，網(wǎng)絡(luò)威脅日益加劇。攻擊者利用日益成熟的攻擊技術(shù)和普遍化的攻擊武器，不斷發(fā)現(xiàn)企業(yè)信息系統(tǒng)中的安全漏洞并加以利用。很多漏洞都是由于設(shè)計人員對安全需求的認(rèn)識不足、開發(fā)人員的安全意識和編碼能力缺乏等引起的。當(dāng)前，企業(yè)面臨著更高的業(yè)務(wù)安全要求和監(jiān)管合規(guī)要求，但大部分安全人員對安全需求的理解程度不夠，無法為企業(yè)提供準(zhǔn)確指導(dǎo)。此外，安全人員短缺、安全開發(fā)人員能力不足以及威脅建模和威脅分析過于復(fù)雜等原因，使得大多數(shù)企業(yè)無法快速有效地提出符合實際業(yè)務(wù)情況的安全需求。
某股份制銀行自2022年開始應(yīng)用安全“左移”建設(shè)，在安全測試階段加大投入和運營，至今已基本實現(xiàn)了應(yīng)用系統(tǒng)上線前常規(guī)安全測試的自助、自動化覆蓋。為實現(xiàn)應(yīng)用安全進一步“左移”，開展本項目建設(shè)工作。
本項目旨在將安全防護前移至需求和設(shè)計階段，主要目標(biāo)包括:
●完善應(yīng)用安全知識庫，降低上線后的漏洞和合規(guī)風(fēng)險
●減少整體安全測試和改造成本
●構(gòu)建從需求分析到設(shè)計再到驗證測試的完整安全閉環(huán)
●減少軟件開發(fā)過程中引入的漏洞數(shù)量
●降低業(yè)務(wù)安全缺陷和合規(guī)風(fēng)險
●全面提升應(yīng)用系統(tǒng)安全性
●借助LLM相關(guān)功能，降低安全威脅建模門檻。
依據(jù)競爭性磋商文件要求，本項目建設(shè)內(nèi)容為：
（1）梳理應(yīng)用安全基線：通過梳理與公司行業(yè)、業(yè)務(wù)相關(guān)的國家法律法規(guī)、監(jiān)管發(fā)文、制度和技術(shù)規(guī)范等應(yīng)用安全要求，對應(yīng)交易中心各系統(tǒng)的業(yè)務(wù)技術(shù)場景，整理包括安全需求、安全設(shè)計、安全測試用例等內(nèi)容的完整應(yīng)用安全基線；
（2）修訂優(yōu)化制度流程：修訂現(xiàn)有的應(yīng)用安全開發(fā)設(shè)計、編碼規(guī)范等相關(guān)制度，優(yōu)化現(xiàn)有安全需求分析、設(shè)計、測試流程；
（3）應(yīng)用安全基線落地：通過瓴知-應(yīng)用安全威脅建模系統(tǒng)（TMA），整合了比瓴科技在開發(fā)安全領(lǐng)域積累所形成的安全知識庫，企業(yè)的私域知識以及前期系統(tǒng)梳理的基線制度知識，高效實現(xiàn)知識庫信息的維護管理，高效實現(xiàn)開發(fā)過程中應(yīng)用安全需求分析、設(shè)計、測試，在試點項目中進行落地執(zhí)行。同時利用TMA系統(tǒng)所提供的LLM能力，在重點項目中進行試點，通過試點調(diào)整和優(yōu)化自動威脅建模結(jié)果的準(zhǔn)確性。
本項目的實施將為某股份制銀行帶來多方面的重要價值:
●提升應(yīng)用系統(tǒng)安全性 通過將安全前移到需求和設(shè)計階段，我們能夠更早地發(fā)現(xiàn)并解決潛在的安全問題。例如，在設(shè)計網(wǎng)上銀行轉(zhuǎn)賬功能時，我們可以從一開始就考慮交易限額、異常交易監(jiān)控等安全措施，而不是在系統(tǒng)開發(fā)完成后才添加這些功能。這種方法可以顯著降低系統(tǒng)上線后出現(xiàn)重大安全漏洞的風(fēng)險。
●降低安全缺陷修復(fù)成本 眾所周知，越晚發(fā)現(xiàn)并修復(fù)安全問題，成本就越高。通過本項目，我們預(yù)計可以將至少50%的安全問題在開發(fā)早期就解決，這不僅能節(jié)省大量的后期修復(fù)成本，還能減少因安全問題導(dǎo)致的項目延期。
●提高開發(fā)團隊的工作效率 有了完善的安全基線和知識庫，開發(fā)人員不再需要在每個項目中重新研究安全要求。他們可以快速參考標(biāo)準(zhǔn)化的安全指南，將更多精力集中在業(yè)務(wù)功能的實現(xiàn)上。我們估計這可以使開發(fā)效率提升15-20%。
●增強監(jiān)管合規(guī)能力 金融行業(yè)面臨著越來越嚴(yán)格的監(jiān)管要求。本項目將幫助某股份制銀行建立起與最新監(jiān)管標(biāo)準(zhǔn)同步的安全開發(fā)流程。當(dāng)監(jiān)管機構(gòu)進行檢查時，能夠清晰地展示我們的安全措施如何滿足甚至超越監(jiān)管要求。
●優(yōu)化資源分配 通過自動化工具和優(yōu)化后的流程，我們可以更高效地利用有限的安全人才資源。安全團隊可以將更多精力投入到高價值的安全戰(zhàn)略規(guī)劃和復(fù)雜問題解決中，而不是被日常的重復(fù)性工作所困擾。
總的來說，該項目不僅僅是一次技術(shù)升級，更是某股份制銀行數(shù)字化轉(zhuǎn)型戰(zhàn)略中的關(guān)鍵一環(huán)。它將幫助客戶在日益復(fù)雜的網(wǎng)絡(luò)環(huán)境中保持競爭優(yōu)勢，為銀行的可持續(xù)發(fā)展奠定堅實的安全基礎(chǔ)。通過前瞻性地解決安全挑戰(zhàn)，某股份制銀行將能夠更加從容地應(yīng)對未來的機遇與挑戰(zhàn)。
隨著金融行業(yè)數(shù)字化程度的不斷提高，網(wǎng)絡(luò)安全風(fēng)險也日益突出。傳統(tǒng)的威脅建模方法在應(yīng)對這些風(fēng)險時，逐漸顯露出一些局限性。而 LLM 作為一種先進的人工智能技術(shù)，具有強大的語言理解能力、高效的自動化處理、廣泛的知識覆蓋和適應(yīng)性強等優(yōu)勢，可以為金融行業(yè)的威脅建模提供新的思路和方法。同時比瓴科技所提供的瓴知-應(yīng)用安全威脅建模系統(tǒng)也能為金融機構(gòu)更快速、準(zhǔn)確地識別業(yè)務(wù)需求中的安全威脅，制定有效的安全策略和措施，確保業(yè)務(wù)的安全運行。在未來，隨著人工智能技術(shù)的不斷發(fā)展，比瓴科技也將不斷對產(chǎn)品能力和基礎(chǔ)知識庫進行更新和完善，以提供更加智能的威脅建模能力。
