表格 ２－1人为威胁：威胁源，动机和威胁行为
为了确定威胁攻击弱点的可能性，在识别出潜在的威胁源后，要对成功发起一次攻击所需要的动机、资源和能力作出估计。如２.5节所描述。
应该为机构及其处理环境（比如最终用户计算习惯）定制威胁声明或潜在威胁源清单。总的来说，自然威胁（比如洪水、地震、风暴）方面的信息应该很容易获取。已知威胁已经被很多政府和私营机构识别出来。入侵检测工具也很普遍了，政府和行业组织不断在收集安全事件方面的数据，因此提高了实际评估威胁的能力。信息来源包括，但不限于以下：
- 情报机构（比如，联邦调查局的国家基础设施保护中心）
- 联邦计算机事件响应中心（FedCIRC）
- 海量媒体，尤其是基于Web的资源，比如SecurityFocus.com，SecurityWatch.com，SecurityPortal.com，以及SANS.org
步骤二的输出：包括一份可能攻击系统弱点的威胁源清单的威胁声明。
２.3 步骤三：弱点识别
| 对IT系统的威胁分析必须包含对与系统环境相关的弱点进行分析。本步的目标是开发出一个可能会被威胁源攻击的系统弱点（缺陷或薄弱环节）列表。
|
