VAST
애플리케이션·운영 두 위협 모델을 자동화·확장해 조직 전반에 적용하는 애자일 위협 모델링.
분류 / 관점 / 적용 규모
조직관점: 소프트웨어규모: 조직
핵심 단계 / 구성요소
- 애플리케이션 위협 모델개발자 관점의 프로세스 흐름도(PFD)로 애플리케이션 구조와 위협을 표현한다.
- 운영 위협 모델공격자·인프라 관점의 데이터 흐름도(DFD)로 운영 환경의 위협을 표현한다.
- 자동화·확장 통합두 모델을 도구로 자동화해 CI/CD와 DevOps 파이프라인에 통합한다.
- 이해관계자별 결과 산출개발·운영·경영 등 역할별로 실행 가능한 결과를 지속적으로 제공한다.
- 지속적 갱신 루프시스템 변경에 맞춰 위협 모델을 반복적으로 갱신하며 전사에 확장한다.
산출물
애플리케이션·운영 위협 모델과 이해관계자별로 실행 가능한 위협 완화 결과물.
강점
- 애자일·DevOps 환경에 맞춰 자동화와 확장성을 우선한다.
- 역할별로 다른 관점의 모델을 제공해 대규모 조직에 적용하기 좋다.
- 보안 전문가가 아니어도 참여할 수 있도록 설계되었다.
한계
- 완전한 효과를 위해서는 전용 도구(예: ThreatModeler)에 대한 의존이 크다.
- 방법론 자체의 공개 명세가 제한적이어서 표준화가 약하다.
- 자동화 구축 초기 투자와 프로세스 정착 노력이 필요하다.
대표 사용처
애자일·DevOps를 도입한 대규모 조직에서 개발 수명주기 전반의 위협 모델링 자동화에 활용된다.