Vad är säkerhetshotsmodellering? - dummies

Hot modellering är en typ av riskanalys som används för att identifiera säkerhetsfel i designfasen i ett informationssystem. Hot modellering tillämpas oftast på program, men det kan användas för operativsystem och enheter med samma effektivitet.

Hotmodellering är typiskt attack-centrerad; hot modellering oftast används för att identifiera sårbarheter som kan utnyttjas av en angripare i program.

Hot modeller är mest effektiva när de utförs i designfasen av ett informationssystem eller applikation. När hot och deras begränsning identifieras i konstruktionsfasen sparas mycket arbete genom att undvika designändringar och korrigeringar i ett befintligt system.

Även om det finns olika metoder för hotmodellering, är de typiska stegen

• Identifiera hot
• Bestämning och diagrammering av potentiella attacker
• Utför reduktionsanalys
• Hantering av hot

Identifierande hot

Hot identifieringen är det första steget som utförs i hot modellering. Hot är de åtgärder som en angripare kan lyckas utföra om det finns motsvarande sårbarheter som finns i programmet eller systemet.

För mjukvaruapplikationer finns det två mnemonics som används som minneshjälp under hot modellering. De är

• STRIDE, en lista över grundläggande hot (utvecklad av Microsoft):
  • Spoofing av användaridentitet
  • Tampering
  • Repudiation
  • Upplysningar om information
  • Förnekande av tjänsten
  • Förhöjning av behörighet
  DREAD, en äldre teknik som används för att bedöma hot:
• Skada
  • Reproducerbarhet
  • Exploitability
  • Berörda användare
  • Upptäckbarhet
  • Även om dessa mnemoniker inte själva innehåller hot, de hjälper den person som utför hotmodellering, genom att påminna individen om grundläggande hotkategorier (STRIDE) och deras analys (DREAD).

Bilaga D och E i NIST SP800-30, Guide för genomförande av riskbedömningar, är en bra generell källa till hot.

Bestämning och schemaläggning av potentiella attacker

När hot har identifierats fortsätter hotmodellering genom att skapa diagram som illustrerar attacker på ett program eller system. Ett

angreppsträd kan utvecklas. Det beskriver de steg som krävs för att attackera ett system. Följande figur illustrerar ett angreppsträd i en mobilbankansökan. Anfall träd för en mobil bankansökan.

Ett angreppsträd illustrerar stegen som används för att attackera ett målsystem.

Utför reduktionsanalys

När en hotanalys utförs på en komplex applikation eller ett system är det troligt att det kommer att finnas många liknande element som representerar dupliceringar av teknik.

Reduktionsanalys är ett valfritt steg i hotmodellering för att undvika dubbelarbete. Det är inte meningsfullt att spendera mycket tid på att analysera olika komponenter i en miljö om de alla använder samma teknik och konfiguration. Här är typiska exempel:

En applikation innehåller flera formulärfält (som härrör från samma källkod) som begär bankkontonummer. Eftersom alla fältinmatningsmoduler använder samma kod behöver endast detaljerad analys göras en gång.

• En applikation skickar flera olika typer av meddelanden via samma TLS-anslutning. Eftersom samma certifikat och anslutning används, behöver en detaljerad analys av TLS-anslutningen endast göras en gång.
• Tekniker och processer för att avhjälpa hot

Precis som i rutinriskanalys är nästa steg i hotanalys en uppräkning av potentiella åtgärder för att mildra det identifierade hotet. Eftersom hotets art varierar mycket kan remediering bestå av ett eller flera av följande för varje risk:

Ändra källkod (till exempel lägga till funktioner för att noga granska inmatningsfält och filtrera bort injektionsattacker).

• Ändra konfiguration (till exempel byta till en säkrare krypteringsalgoritm, eller lösa lösenord oftare).
• Ändra affärsprocess (till exempel lägga till eller ändra steg i en process eller procedur för att spela in eller undersöka nyckeldata).
• Ändra personal (till exempel ge utbildning, flytta ansvaret för en uppgift till en annan person)
• Minns att de fyra alternativen för riskhantering är begränsning, överföring, undvikande och acceptans. Vid hotmodellering kan vissa hot accepteras som-är.