Appsec

The Problem Nobody Wants to Admit Your threat model sits in a Confluence page, beautifully diagrammed, meticulously documented. It’s a masterpiece of security theater. Your developers glance at it during onboarding, security checks it off a compliance box, and then everyone pretends it actually represents reality. Sound familiar? Here’s the uncomfortable truth: most threat models are elaborate fiction—carefully crafted stories about how systems should be attacked, divorced from how they actually evolve in production....

Проблема, которую никто не хочет признавать Ваша модель угроз находится на странице Confluence, красиво оформленная в виде диаграмм, тщательно документированная. Это шедевр «театра безопасности». Ваши разработчики мельком смотрят на неё во время знакомства с проектом, служба безопасности отмечает её как выполненное требование соответствия, и затем все делают вид, что она действительно отражает реальность. Звучит знакомо? Вот неудобная правда: большинство моделей угроз — это сложная выдумка — тщательно продуманные истории о том, как системы должны подвергаться атакам, оторванные от того, как они фактически развиваются в процессе эксплуатации....