CORAS模型驱动分析：用图形化威胁场景替代文字描述的适用条件

CORAS模型驱动分析

用图形化威胁场景替代文字描述的适用条件本文档提供：表1CORAS八步与五种图的产出对照表；表2威胁图图元的填写规则表；表3图元退化信号排查表；表4概率刻度与标注检查表；表5工具现状与替代选项表；表6建模投入判定表；案例“某铁路信号控制系统的一次CORAS威胁图工作坊”；表7三套场景操作序列；表8数据来源与时效说明表。内部编号：COR-EX-2026-01。2026-11-02这一节的标题读完你能拿到什么这一节在全文中的功能一、先判断这张图值不值得画表1：CORAS八步与五种图的产出对照表；建模投入判定的第一动作把“要不要用CORAS”从一个偏好问题变成可观察的投入产出判断二、八步里哪几步必须画图，哪几步可以退回文字每一步的产出图和“图让位于文字”的触发条件给出八步中图形化的必要边界，避免为了画图而画图三、威胁图的五个图元，每个只填一句可核查的话表2：威胁图图元的填写规则表把“威胁—脆弱性—场景—事件—资产”这条链上的每个节点固定为具体动作四、图开始“好看但没用”时，先查这四处表3：图元退化信号排查表给出图形化替代文字失效时的识别信号和切换动作五、概率标签不是打分，是先定刻度再标表4：概率刻度与标注检查表处理CORAS中最容易被填成主观形容词的一列六、工具：旧工具停在2014年，现在能用的有三条路表5：工具现状与替代选项表把工具支持的实际情况写清楚，不承诺不存在的功能七、什么条件下图形化优于文字，什么条件下文字更可靠表6：建模投入判定表回答标题中的“适用条件”，给出可执行的切换规则八、某铁路信号控制系统的一次CORAS威胁图工作坊完整案例：起点、分步操作、四次试错、终点展示图在哪个节点上退化为文字、又在哪里重新成立九、三套场景操作序列表7：完整版、精简版、极简版的操作序列与不能妥协的底线按分析规模和工具条件选择执行深度十、差异化与来源表8：数据来源与时效说明表标明哪些来自公开方法文献、哪些是经验建议按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。接手的人被要求用CORAS对一套系统做威胁建模，打开一份八步流程说明和五种图的列表，但不确定手头这个系统值不值得画图，也不知道图应该画到哪一步停。一、先判断这张图值不值得画CORAS的八步方法操作化了ISO31000的风险分析过程，五种图分别挂在不同的步骤上：资产图用于精化目标描述，威胁图用于风险识别和风险估计，风险图用于风险评价，处置图和处置概览图用于风险处置。图的用途是让工作坊参与者在同一张画布上看到威胁如何通过脆弱性触发场景、场景如何导致unwantedincident、事件如何损害资产。但画图本身有成本：一场工作坊需要分析团队和业务方同时在场，威胁图的节点数随场景数量增长，旧版工具的维护状态又限制了图的后期编辑。第一动作不是打开工具，是打开一张判定表，逐行判断“这个系统、这批参与者、这个时间窗口，图形化能不能产出比文字更可核查的结果”。表1CORAS八步与五种图的产出对照表步骤方法步骤名称产出图这一图解决什么图画不下去时退回什么1分析准备无图确定分析目的、规模和参与方不适用；此步不产图2目标呈现无图（文字描述）业务方陈述系统边界、焦点和假设不适用；此步以文字为主3用资产图精化目标描述资产图列出受保护的对象、所属方和资产间依赖退回资产清单表，逐行写资产名称、所属方和受损后果4目标描述批准无新图业务方确认资产图和边界不适用5用威胁图识别风险威胁图威胁、脆弱性、威胁场景、unwantedincident和资产之间的因果链退回“威胁—场景—事件”三列文字表，逐行写谁通过什么条件导致什么事件6用威胁图估计风险威胁图（带概率标注）在步骤5的图上标注initiates、leads-to和impacts的概率或频率退回概率标注表，按节点逐行填刻度值7用风险图评价风险风险图将unwantedincident映射到资产受损后果和风险等级退回风险矩阵表，行是事件、列是资产，格内填等级8用处置图处理风险处置图、处置概览图处置动作作用于哪个图元、降低概率还是后果退回处置动作表，列含“作用图元”和“降低概率/后果”表后解释：这张表的第一用途是让接手的人知道哪几步必须有图、哪几步本来就不画图。步骤3、5、6、7、8是产图步骤，其中步骤5和6共用同一张威胁图，区别在于步骤6在步骤5的图元上增加了概率标注。第二用途是右侧“退回什么”列：每一张图都有一个文字退路，退路不是失败，是当图形化在当前条件下无法产出可核查信息时的替代动作。如果步骤5的威胁图画到一半发现每条边都只能写“可能”，退回三列文字表反而能强迫参与者写出具体条件。二、八步里哪几步必须画图，哪几步可以退回文字八步中真正需要图形化的是步骤5和步骤6的威胁图。资产图（步骤3）通常可以在一次会议内完成，风险图（步骤7）和处置图（步骤8）是在威胁图基础上做标注和叠加。威胁图必须画的条件是：参与者能在图上指出至少两个威胁、至少两个脆弱性、至少两条威胁场景，并且每条场景都能连到一个unwantedincident和一个资产。如果做不到，说明系统的威胁结构还没有被工作坊讨论出来，此时画出来的图是分析团队自己填的，不是参与者共同产出的。步骤3的资产图有一个容易忽略的约束：资产图要标明资产之间的依赖关系，例如“声誉受损只有在其他资产先受损时才发生”。依赖关系是文字描述难以表达、图形化有明显优势的部分；但如果参与者无法在会议上就依赖方向达成一致，资产图退回资产清单表，依赖关系在备注列中写一句“依赖某资产先受损”，不强行画箭头。步骤7的风险图和步骤8的处置图对图形化的依赖度低于威胁图。风险图的核心信息是“哪个unwantedincident在哪个资产上造成什么等级的后果”，这些信息在一张矩阵表中可以完整承载，图形化的增量有限。处置图的增量在于“处置动作指向哪个图元”，这个信息在文字表中用“作用图元”一列也能表达。因此，如果时间受限或工具不可用，步骤7和8退回文字表是完全可以接受的，不影响分析质量；步骤5和6的威胁图是CORAS图形化真正的不可替代段，也是文档后续几节的重点。三、威胁图的五个图元，每个只填一句可核查的话威胁图的语言构造有五个：威胁（threat）、脆弱性（vulnerability）、威胁场景（threatscenario）、unwantedincident和资产（asset）。威胁是可能有意或无意导致事件的人或事物；脆弱性是威胁可以利用的弱点；威胁场景是威胁利用脆弱性触发的事件序列；unwantedincident是损害或降低资产价值的事件；资产是某一方赋予价值、需要保护的对象。图上有三种关系：initiates（威胁发起场景或事件）、leads-to（场景导致场景或事件）、impacts（事件损害资产）。图形化替代文字描述的关键不在于画对箭头，在于每个图元里填的那句话能不能被第三个人按同一标准判断真假。表2威胁图图元的填写规则表图元图上位置填什么合格写法不合格写法填不出时怎么办威胁图的左端，箭头出发处谁或什么（有意、无意或非人类）“外包运维人员，持有共享账号”“内部威胁”退回文字表“行为者”列，写具体岗位或角色脆弱性initiates或leads-to箭头旁被利用的具体条件或弱点“数据库账号未绑定个人身份”“访问控制不足”箭头旁留空，该条关系标“条件未识别”，不进入估计威胁场景中间节点威胁利用脆弱性后发生了什么“以共享账号登录计费数据库，读取计费明细”“数据泄露”退回文字表“动作”列，写动词开头的具体行为unwantedincident图的右端节点，带星号框什么事件损害了资产“计费明细被未授权修改”“完整性受损”检查资产是否已定义；资产未定义时退回步骤3资产impacts箭头指向处受保护的对象及其所属方“住院患者计费数据，所属方为医院”“数据”退回资产图或资产清单，补所属方表后解释：这张表的判定单位是一句话。威胁图上一个节点或一条箭头旁边只允许存在一句可核查的话，这句话的主语和动作必须能被工作坊外的人复核。如果同一位置需要写两句话才能说清楚，拆成两个节点或两条箭头，不合并。脆弱性列写“条件未识别”的箭头不进入步骤6的概率估计，因为概率标注需要以“什么条件被利用”为前提。四、图开始“好看但没用”时，先查这四处CORAS的图形语言在简单场景中清晰，但在复杂场景中符号的扩展性有限，这是公开评估中反复出现的反馈。图变得“好看但没用”的典型信号是：节点和箭头齐全，但每个节点上的文字都是抽象名词，工作坊结束后没有人能根据图说出下一步查什么。排查从四个位置入手。表3图元退化信号排查表排查位置打开什么看什么算退化退化后的切换动作威胁节点每个威胁节点的主语主语是“内部人员”“外部攻击者”这类类别词，不是具体角色或条件拆分为具体角色，或在该节点旁标注“威胁主体待确认”，该节点不进入估计脆弱性标注initiates和leads-to箭头旁的脆弱性文字脆弱性是“配置不当”“管理不足”这类没有指向具体文件或配置项的词替换为“哪份配置项的哪个设置”“哪条流程的哪个步骤缺失”；替换不出则标“条件未识别”leads-to链场景与场景之间的箭头箭头存在但上下游场景之间没有动作上的先后关系，只是名称相似删除该箭头，或把上下游合并为一个场景；合并后若场景超过一句可核查的话，拆成两个并行场景impacts关系unwantedincident到资产的箭头多条事件指向同一资产但损害后果没有区分，图上看起来重复保留后果最具体的箭头，其余箭头在文字表中合并为“同一后果的不同触发路径”，不在图上重复画表后解释：四个位置中，脆弱性标注的退化最容易被忽略。威胁图的力量在于把“什么条件被利用”写在箭头旁边；如果这一列退化为管理套话，整张图就变成了威胁清单的连线版，失去图形化相对于文字表的增量。切换动作的判断标准是：退化后的图元在文字表中能不能用一列写清楚；能，就退回文字；不能，说明该图元本身没有被讨论清楚，回到工作坊议程补讨论，不靠改图解决。五、概率标签不是打分，是先定刻度再标步骤6在威胁图上标注概率或频率。CORAS中只有威胁场景和unwantedincident可以被赋予概率，initiates关系可以标注威胁发起场景的概率，leads-to关系可以标注条件概率，impacts关系可以标注后果值。概率刻度由分析团队在工作坊中先选定，常用刻度包括“rare/unlikely/possible/likely/certain”或频率刻度如“每年少于一次、每年一至五次、每年五次以上”。刻度必须在标注之前确定，且在同一场分析中不切换。表4概率刻度与标注检查表检查项合格做法常见错误修正动作刻度先于标注在工作坊第一小时确定刻度表，写在白板上，标注时逐项对照标注到一半发现刻度不够用，临时增加一档停止标注，回退到已标节点，按新刻度重新映射；映射记录附在产出中标注单位一致同一张图上只用概率（0—1）或只用频率（N次/年），不混用一个节点标“possible”，另一个标“每年2次”统一为频率刻度，将概率标签按工作坊共识映射为频率区间，映射表附在产出中标注位置明确概率标在关系旁，不标在节点内；节点内只放图元文字把“likely”写在unwantedincident框内，分不清是事件概率还是关系概率把标签移到箭头旁；节点内的旧标签删除标注有依据来源每个概率标签旁注明依据类型（事件记录、专家判断、行业归纳）所有标签依据都写“专家判断”，无区分至少对频率最高的三个节点补事件记录或台账数据；无数据时标“判断依据：无记录”表后解释：概率刻度在CORAS中服务于估计的可复算性，不服务于精确性。如果工作坊无法就刻度达成一致，步骤6的标注退回文字表，表列“节点、关系类型、标注值、依据类型”，不强行在图上标注。图上标注的价值在于让参与者当场看到“这条链上哪个箭头的概率最高”，如果标注过程变成逐项争论刻度含义，图形的沟通功能已经被文字讨论替代。六、工具：旧工具停在2014年，现在能用的有三条路CORAS方法原本配套一个基于Eclipse的图形编辑器，但该工具自2014年起未再维护，在当前Eclipse平台上运行并不容易。旧工具是免费开源软件，但底层元模型没有定义图与图之间的语义关系，前一步骤的结果在下一步骤中需要重画，导致冗余和不一致。替代路径有几种，选择取决于组织是否需要工具级的图编辑、是否需要与系统模型联动、以及是否接受手工绘图。表5工具现状与替代选项表路径可用工具或方式能做什么不能做什么选择条件路径一：使用旧版CORAS编辑器原始CORAS工具（基于EclipseRCP）按CORAS语法绘制五种图，导出项目文件在新版Eclipse上运行需要额外配置；跨图语义不联动，步骤间需重画组织已有可用环境，且分析规模小、不要求与系统模型集成路径二：使用CapCoras（Capella插件）CapCoras，将CORAS变体集成到Capella建模环境在系统模型旁绘制威胁图，图元可关联到系统模型元素Capella本身有学习曲线；插件可用性受平台版本限制组织已经在使用Capella或基于模型的系统工程环境路径三：通用绘图工具加结构化文字表任何支持节点和箭头的绘图工具，配合本文表2的填写规则按图元规则手工绘制威胁图；图与文字表并行维护没有语法校验，图元退化不会自动提示；依赖人工按表3排查工具不可用或时间窗口短，且参与者能遵守表2的写法规则路径四：LLM辅助生成（实验性）公开研究中描述的CORASThreatModeler类工具从自然语言系统描述生成初步威胁模型，降低非专家入门门槛覆盖范围和处置灵活性仍需改进，生成结果需人工复核用于工作坊前的草案准备，不替代工作坊中的参与者判断表后解释：路径一和路径二的共同限制是工具本身的维护状态。路径三不是“退而求其次”，在威胁图的核心价值是迫使参与者写出可核查图元文字的前提下，通用绘图工具加表2的填写规则可以完成同样的认知工作，代价是失去语法校验和自动排查。路径四只用于草案，工作坊中图元文字的最终确认仍然由参与者完成。七、什么条件下图形化优于文字，什么条件下文字更可靠CORAS的图形化在以下条件下产出比文字表更可核查的结果：参与者能在图上指出具体图元，图元文字符合表2的合格写法，图的规模在参与者一次会议内能通读，且工具或绘图方式允许当场修改。以下条件下文字表更可靠：威胁结构尚未被讨论清楚，图元文字反复退化为类别词，图超过一屏无法通读，或工具不可用且参与者没有绘图纪律。表6建模投入判定表判定维度图形化更优的信号文字表更可靠的信号切换动作参与者能否写出具体图元至少两名参与者能独立写出同一威胁的不同具体场景图元文字由分析团队代填，参与者只做确认退回文字表，在工作坊议程中增加一轮“谁、做了什么”的追问，讨论充分后再决定是否上图图的规模节点和箭头总数在工作坊结束前能在一屏内通读威胁场景超过约15个，图需要分页或缩放才能读按资产或子系统拆分为多张威胁图，每张对应一个资产；拆不出时退回文字表脆弱性标注的质量箭头旁的脆弱性指向具体配置项、流程步骤或文件位置脆弱性标注超过半数写“配置不当”“管理不足”退回文字表，脆弱性列留空并标“条件未识别”；该部分不进入估计工具与维护条件有可用的绘图环境，且图在会后能由非分析团队的人打开和修改旧工具无法运行，或图文件只有分析团队能打开使用通用绘图工具导出为可读格式，或直接用文字表作为正式产出；图作为工作坊现场辅助，不作为交付物表后解释：这张表不评价CORAS方法本身的好坏，只判断在当前这一场分析中，图形化替代文字的条件是否成立。图形化最不可替代的段是威胁图上的initiates和leads-to关系：当参与者能指着一条箭头说“这个威胁利用这个条件触发了这个场景”，这句话在文字表中需要三列才能表达，在图上一条箭头加两个图元就完成了。但当这条箭头旁写不出具体条件时，图形化只剩下装饰功能，文字表反而更诚实。八、某铁路信号控制系统的一次CORAS威胁图工作坊示例案例，细节为合理设定。人物称“某安全分析师”。起点。分析师主持一场一天的工作坊，参与者包括信号系统工程师、运营值班主管和一名独立安全评估员。分析对象是某区段的列车自动防护功能。目标是产出一张威胁图和一张风险评价表。分步操作。步骤1和2以文字完成，确定焦点为“列车自动防护功能在正常运营和降级模式下的完整性”。步骤3画资产图，识别出三个资产：列车位置信息的完整性、防护指令的及时性、区段运营的可用性。资产图完成，依赖关系写为“可用性受损可能由完整性或及时性受损引发”。步骤5进入威胁图，分析师在白板上画出五个图元位置，让参与者逐项填写。不顺利环节。第一次试错。威胁节点填的是“外部攻击者”“内部人员”“设备故障”。分析师指出“外部攻击者”不是具体威胁，工程师补充为“通过无线接口向列车发送伪造移动授权的外部行为者”。但填到脆弱性时，箭头旁写的是“无线通信未加密”。独立评估员指出这是脆弱性，但没有说明“未加密”具体指哪一层、哪种报文。这一轮把问题从“威胁写不具体”推到了“脆弱性没有指向可检查的配置”。第二次试错。分析师请工程师打开通信协议配置表，逐条核对哪些报文类型在无线链路上以明文传输。核对发现，移动授权报文使用了应用层加密，但部分状态上报报文为明文。脆弱性改写为“状态上报报文在无线链路上以明文传输，未做完整性保护”。威胁场景随之具体化为“外部行为者截获明文状态报文，重放或篡改后诱导调度员做出错误判断”。这一轮的新信息是：脆弱性写不具体不是因为参与者不愿意写，是因为工作坊桌上没有配置表；分析师把配置表加入后续工作坊的必备材料。第三次试错。威胁图扩展到七条场景后，白板上的箭头开始交叉。分析师尝试把图整理成层级结构，但发现两条场景共享同一个unwantedincident，而该事件又通过两条不同路径指向同一资产。图上出现了三处箭头交叉，参与者开始看手机。独立评估员建议拆图。分析师按资产拆为两张威胁图：一张围绕“位置信息完整性”，一张围绕“指令及时性”。拆分后每张图在六条场景以内，参与者重新进入讨论。这一轮把问题从“图画得不好”推到了“图的规模超过了当场可读的边界”。第四次试错。拆分后，第二张图上“及时性”资产的一条leads-to箭头旁，脆弱性写的是“降级模式切换延迟”。工程师指出这个延迟的具体数值取决于联锁设备的扫描周期，而扫描周期在工作坊现场无法确认。分析师把该箭头标为“条件未识别”，不进入步骤6的概率估计，并在处置表中增加一条“确认联锁扫描周期并评估降级切换时限”的动作。这一轮的新信息是：图的作用不是把所有节点都填满，是让填不满的节点显形，并在处置表中留下对应的确认动作。终点。工作坊产出两张威胁图（按资产拆分）、一张风险评价表（步骤7退回矩阵表，因风险图图形化增量有限）、一张处置表。威胁图中“条件未识别”的箭头共两条，均进入处置表的“确认动作”列。会后交付物是威胁图的导出图片和配套的文字表，文字表中的每一行对应图上的一个图元或箭头。表后说明：案例中变量表如下。变量案例中情形如果变量不同处置变化参与者是否携带配置表第一次试错未携带，第二次补入若配置表始终不可得脆弱性标注停留在“待确认”的比例上升，更多箭头不进入估计，图形化相对于文字表的优势缩小威胁场景数量初始七条，拆分后每张图六条以内若场景数少于五条不拆分，单张威胁图即可在一屏内通读工具白板手绘，会后手工整理若有可用绘图工具现场可在工具中直接修改，但图元文字的填写规则不变独立评估员的角色指出脆弱性标注不具体若无独立评估员需要分析师自己在表2的“不合格写法”列中逐项比对，排查强度取决于分析师对规则的熟悉程度表后一句话：该案例中权重较高的变量是参与者是否携带可核查的配置记录，它决定了脆弱性标注能不能写出具体条件，也决定了威胁图是停在装饰层还是进入可估计层。九、三套场景操作序列表7三套场景操作序列版本选择判定操作序列不能妥协的底线完整版安全关键系统，产出需进入正式安全论证或监管审查按八步走完；步骤5和6的威胁图按表2逐图元填写，按表3逐处排查退化，按表4先定刻度再标注；步骤7和8根据图形化增量决定是否退回文字表；工具使用表5中可用路径并导出可读格式每个威胁节点的主语是具体角色或条件；每条initiates和leads-to箭头旁的脆弱性指向可检查的配置项、流程步骤或文件位置；填不出时标“条件未识别”，不填类别词精简版内部识别风险，时间受限，不进入正式论证只做步骤3、5、6；步骤3的资产图用文字表替代；步骤5的威胁图用通用绘图工具手绘；步骤6只对风险最高的三条链标注概率，概率刻度用频率区间威胁图上的威胁、场景和unwantedincident三类节点各至少有一条文字符合表2合格写法；填不出具体脆弱性的箭头不进入概率标注极简版个人学习或判断CORAS是否适用于本组织只做一件事：选一个已知风险事件，反向填表2的五个图元各一行；然后问“这五行文字里有没有任何一行必须靠图才能说清”五行中至少有三行能写出具体主语和动作；如果五行都能用文字表说清，图形化的增量不足以支撑一场工作坊表后解释：完整版和精简版的区别在威胁图的完整度和概率标注的覆盖范围。精简版跳过资产图和风险图的图形化，直接进入威胁图，适用于系统边界已经清晰、参与者对资产有共识的场景。极简版只验证图形化相对于文字表的增量是否存在；如果答案是否定的，CORAS的威胁图在这个分析中不是必需项，三列文字表可以完成同样的工作。十、差异化与来源表8数据来源与时效说明表信息项来源层级核对状态建议验证事项（验证动作、验证对象、判定标准）核对路径CORAS是ISO31000风险分析过程的8步操作化，含五种图[公开教研共识]已核对公开方法材料中的步骤和图表列表取组织引