IaC自动威胁建模
各维度得分依据公开资料与字段推算,加权后即综合评分,仅供参考。
ThreatMod 定位为“下一代威胁建模”工具，核心目标是把威胁建模嵌入 DevSecOps 流程。根据页面信息，它可读取 Terraform 或 CloudFormation 这类 Infrastructure as Code 配置，自动构建基础设施和应用威胁模型，减少传统手工威胁建模的成本。
在防护类型上，它更偏向安全左移、IaC 安全和威胁建模，而不是运行时入侵防护或云原生安全监控。管理能力方面，ThreatMod 可对威胁进行优先级排序，并生成用于实施缓解措施的 backlog，这些任务可导入 Jira，便于进入开发团队日常流程。它还强调 Security as Code，可生成 InSpec profiles，并在 Jenkins 等 CI/CD 工具中自动测试由 ThreatMod 定义的威胁。
网站仅显示 limited beta sign up，未披露正式定价、商业版本、免费计划或企业支持方案。部署方式也未说明，无法判断是 SaaS、本地部署还是混合模式。合规认证、数据驻留、权限控制、审计日志等企业采购常见信息也没有公开。
优点是产品切入点明确，围绕 Terraform、CloudFormation、Jira、InSpec 和 Jenkins 形成了较完整的 DevSecOps 工作流，从建模到任务管理再到自动化测试都有覆盖。缺点是当前信息非常有限，Beta 状态意味着成熟度、稳定性和服务支持仍需验证；同时未看到告警、报表、风险评分细节、多团队协作和更多 IaC/云平台支持说明。
ThreatMod 更适合已经采用 IaC 和 CI/CD 的安全团队、平台工程团队及希望推进安全左移的开发组织。对于只需要传统漏洞扫描、WAF 或终端防护的企业，它并不是直接替代品。中国大陆访问、支付方式和本地支持情况页面未披露，china_access 只能标为未知。若需替代方案，可评估 OWASP Threat Dragon、Microsoft Threat Modeling Tool、IriusRisk 或 ThreatModeler。
本测评基于公开资料整理,不构成购买建议,请以 threatmod.io 官网实际信息为准。
读取基础设施代码生成威胁模型，概念有价值。
评分明细(分布与用户短评)接入中。当前展示 TG4G 综合评分,数据源自公开测评与用户反馈。