مدل‌سازی تهدید (Threat Modeling) فرآیند سیستماتیک شناسایی، طبقه‌بندی و اولویت‌بندی تهدیدهای بالقوه‌ی یک سیستم، پیش از آنکه به آسیب‌پذیری واقعی تبدیل شوند، است. برخلاف تست نفوذ که پس از ساخته‌شدن سیستم انجام می‌شود، مدل‌سازی تهدید ایده‌آل در فاز طراحی رخ می‌دهد — دقیقاً همان جایی که رفع یک نقص معماری کم‌هزینه‌ترین حالت ممکن را دارد. سه روش‌شناسی رایج در این حوزه، رویکردهای اساساً متفاوتی دارند.
STRIDE: طبقه‌بندی محور
STRIDE که توسط مایکروسافت توسعه یافت، تهدیدها را به شش دسته تقسیم می‌کند: Spoofing (جعل هویت)، Tampering (دستکاری داده)، Repudiation (انکار عمل)، Information Disclosure (افشای اطلاعات)، Denial of Service، و Elevation of Privilege. قوت اصلی STRIDE در سادگی و قابلیت آموزش سریع آن است: تیم توسعه یک دیاگرام جریان داده (Data Flow Diagram) رسم می‌کند و برای هر عنصر (فرآیند، جریان داده، مخزن داده)، شش سؤال STRIDE را می‌پرسد. ضعف آن این است که STRIDE به‌خودی‌خود اولویت‌بندی ریسک ارائه نمی‌دهد؛ صرفاً فهرستی از تهدیدهای ممکن تولید می‌کند که باید جداگانه رتبه‌بندی شوند (معمولاً با DREAD یا CVSS).
PASTA: محور ریسک کسب‌وکار
PASTA (Process for Attack Simulation and Threat Analysis) یک چارچوب هفت‌مرحله‌ای است که صراحتاً تهدیدهای فنی را به اهداف کسب‌وکار پیوند می‌دهد. برخلاف STRIDE که از دیدگاه معماری سیستم شروع می‌شود، PASTA با تعریف اهداف کسب‌وکار و ریسک‌های آن آغاز شده، سپس به سمت شناسایی دارایی‌های فنی، تحلیل آسیب‌پذیری، و شبیه‌سازی حمله (attack simulation) حرکت می‌کند. این رویکرد برای سازمان‌هایی که نیاز دارند تصمیمات امنیتی را برای مدیریت ارشد (که زبان ریسک کسب‌وکار را می‌فهمد، نه جزئیات فنی) توجیه کنند، ارزش بیشتری دارد؛ اما هزینه‌ی زمانی و پیچیدگی اجرای آن به‌مراتب بیشتر از STRIDE است.
درخت حمله (Attack Trees): محور سناریو
درخت حمله، که توسط بروس اشنایر رسمیت یافت، تهدیدها را به‌صورت یک ساختار درختی مدل می‌کند: هدف نهایی مهاجم در ریشه قرار دارد و هر شاخه، یک روش ممکن برای دستیابی به آن هدف را نشان می‌دهد که می‌تواند به زیرشاخه‌های دقیق‌تر تجزیه شود. مزیت اصلی این روش، توانایی آن در مدل‌سازی زنجیره‌های حمله‌ی چندمرحله‌ای (attack chains) است — دقیقاً همان چیزی که در حملات واقعی رخ می‌دهد، جایی که مهاجم چند آسیب‌پذیری کم‌خطر را برای دستیابی به یک نتیجه‌ی پرخطر ترکیب می‌کند. ضعف آن، مقیاس‌ناپذیری برای سیستم‌های بسیار پیچیده است؛ درخت حمله برای یک ویژگی یا زیرسیستم مشخص کاربردی‌تر از کل یک پلتفرم سازمانی است.
کدام روش را انتخاب کنیم؟
واقعیت این است که این سه روش رقیب یکدیگر نیستند، بلکه مکمل‌اند. یک رویکرد بالغ می‌تواند از PASTA برای اولویت‌بندی سطح‌بالای ریسک بر اساس تأثیر کسب‌وکار استفاده کند، سپس برای هر مؤلفه‌ی فنی حساس از STRIDE برای پوشش سیستماتیک بهره ببرد، و در نهایت برای سناریوهای حمله‌ی پرخطر و پیچیده، درخت حمله رسم کند. انتخاب روش، خودش یک تصمیم مهندسی است که باید بر اساس بلوغ سازمان، مخاطب گزارش نهایی، و پیچیدگی سیستم هدف گرفته شود.