Threat Model · 威脅建模

---
doc_type: "threat-model"
variant: "light"
status: "draft"
owner: "<your-name>"
last_updated: "YYYY-MM-DD"
upstream:
  required: ["data-flow-diagram", "assets-list"]
  optional: ["nfr-security"]
---

# Threat Model: <system-name>

**Status:** Draft · **Owner:** <Architect/Security> · **Last updated:** YYYY-MM-DD

> [!IMPORTANT]
> **AI 填寫規則：** 本範本 6 段（編號 1, 2, 3, 5, 10, 12），全部必填——刻意沿用完整版的章節編號讓兩版可對照。**威脅建模框架 = STRIDE**（不可用 OWASP Top 10 替代）。每個威脅行內加 `（依據：DFD §flow-X / asset §A-N）`；每欄位帶 `[H]/[M]/[L]` confidence badge；缺資料寫 `_TODO: 需要 XXX_` **不編造攻擊路徑**；輕量版針對 ≤ 2 個 trust boundary + 主要 asset 跑 STRIDE。

---

## 1. Executive Summary

<!-- ai-fill: 3-5 行說明範圍、最高風險 asset、最大未緩解 residual risk -->

<3-5 行說明>

> **TL;DR:** <一句話：最高風險路徑 + 對應 mitigation 狀態>

---

## 2. Trust Boundaries & Assets

<!-- ai-rule: 列出主要 trust boundary 與跨越的 asset。輕量版至少 1 個 boundary -->

### Trust Boundaries

| ID | Name | Crosses (assets) | Confidence |
|---|---|---|---|
| TB-1 | internet → API gateway | session token, user PII | **[H]** |
| TB-2 | API → internal DB | credentials, payment token | **[H]** |

### Assets

| ID | Name | Classification | Location |
|---|---|---|---|
| A-1 | user PII (email/phone) | confidential | OLTP DB |
| A-2 | session token (JWT) | confidential | client + signing key in KMS |

---

## 3. STRIDE Analysis（per asset）

<!-- ai-rule: 每個 asset 必跑 STRIDE 六類，不適用要寫 N/A 並說明為何 -->

### A-1: User PII (across TB-1)

| Category | Threat | Feasibility | Confidence |
|---|---|---|---|
| **Spoofing** | 攻擊者冒用 user JWT | M | **[H]** |
| **Tampering** | MITM 修改 request 內容 | L (TLS 1.3) | **[H]** |
| **Repudiation** | user 否認操作（缺 audit log） | M | **[M]** |
| **Info disclosure** | API response 過度暴露欄位 | M | **[H]** |
| **DoS** | 大量 enumeration scrape PII | M | **[M]** |
| **EoP** | low-priv user 透過 IDOR 取他人 PII | H | **[H]** |

---

## 5. Mitigations（核心）

<!-- ai-rule: 每個 mitigation 含 addresses（威脅 ref）+ effectiveness + side_effect -->

| ID | Addresses | Control | Effectiveness | Side effect |
|---|---|---|---|---|
| M-1 | A-1 EoP (IDOR) | row-level access check + tenant_id 強制 | **[H]** | +5ms latency |
| M-2 | A-1 DoS scrape | rate limit per token + WAF rule | **[M]** | 正當用戶可能被誤判 |
| M-3 | A-1 Spoofing | short JWT TTL (15min) + refresh token | **[H]** | UX 摩擦：頻繁 refresh |

---

## 10. Decision Log

<!-- ai-rule: 每條必含 chosen + 至少 1 個 rejected option + 拒絕原因 -->

| Date | Decision | Options | Chosen | Rejected why | Confidence |
|---|---|---|---|---|---|
| YYYY-MM-DD | Service-to-service auth | mTLS / JWT / IP allowlist | mTLS | JWT (key 管理)、IP allowlist (cloud IP 漂移) | **[H]** |

---

## 12. Confidence & Sources & TODO

- **整份文件最低 confidence 欄位：** <列出所有 [L] 與 [M]>
- **Fabricated assumptions（推測但 input 未明說）：**
  - <假設 1：例：假設 token 是 JWT>
- **Highest-value next input:** <下一份最該補的：completed DFD / penetration test report>

### TODO（缺資料）

- _TODO: 需要 Security 確認 KMS rotation 政策_

---

> [!CAUTION]
> **輸出前 AI 自檢：**
> - [ ] 6 段 H2 章節齊全（編號 1, 2, 3, 5, 10, 12，刻意不連號）
> - [ ] 用 STRIDE 框架（不是 OWASP Top 10 抄一份）
> - [ ] 每個 asset 跑 STRIDE 六類（N/A 須說明）
> - [ ] 每個 mitigation 含 addresses + effectiveness + side_effect
> - [ ] Decision Log ≥ 1 條，每條有 rejected reason
> - [ ] 沒有編造攻擊路徑（每條威脅有 DFD / asset source）
> - [ ] 無 YAML / JSON schema 輸出（threat model 是給人讀的 markdown）