脅威モデリングの脅威ツリーとは何ですか？
OWASPアプリケーション脅威モデリング 、引用ステップ2は具体的に次のように述べています。
これらの脅威は、脅威ツリーの根としてさらに特定できます。脅威の目標ごとに1つのツリーがあります。
脅威ツリーとは何か、およびWebアプリケーションの脅威モデリングにおける潜在的な脅威の目標とは何ですか
攻撃ツリーと脅威ツリーは同じものです。従来のアプリケーション脅威モデルでは、構築するコンポーネント（アプリケーション全体、コンポーネントまたは機能、データフローなど）から始め、そのコンポーネントに対する潜在的な脅威を列挙します。
攻撃ツリーを構築する場合、開発は逆になります。攻撃者の最終目標から始め、最終目標を達成するために考えられる方法を列挙し、次にアプリケーションを調べて、特定したベクターに対して脆弱である可能性のある場所を見つけます。
Adam Shostackが彼の答え で述べたように 、攻撃ツリーは一般により高度な実践者に適しています。彼らのために。
思想的には、攻撃ツリーは、問題に対するレッドチームスタイルの攻撃者中心のアプローチであり、有用な追加の洞察を提供できます。
最初に、Webアプリケーション、その依存関係、および信頼境界の「ホワイトボードスタイル」の図を描くことに焦点を当て、次にSTRIDE、CAPEC、またはOWASPトップ10を使用して脅威を特定します。
（新しい脅威ツリーの作成は、かなりの専門知識を必要とするタスクです。Web脅威モデリングの初心者が使用するように設計された脅威ツリーについては知りません。）
@schoeder：STRIDEと攻撃ツリーは個別に定義されます。 STRIDEはここから来ます http://blogs.Microsoft.com/cybertrust/2009/08/27/the-threats-to-our-products/ 攻撃ツリーはAmarosoによって定義されました。