Hva er sikkerhetsrisikomodellering? - dummies

Trusselmodellering er en type risikoanalyse som brukes til å identifisere sikkerhetsfeil i designfasen i et informasjonssystem. Threat modellering er oftest brukt på programvare, men det kan brukes til operativsystemer og enheter med samme effektivitet.

Trusselmodellering er typisk angrepssentrisk; trusselmodellering oftest brukes til å identifisere sårbarheter som kan utnyttes av en angriper i programvareprogrammer.

Trusselmodellering er mest effektiv når den utføres i designfasen til et informasjonssystem eller en applikasjon. Når trusler og deres begrensning identifiseres i designfasen, blir mye arbeid spart gjennom å unngå designendringer og reparasjoner i et eksisterende system.

Mens det er forskjellige tilnærminger til trusselmodellering, er de typiske trinnene

• Identifiserende trusler
• Bestemme og skjemere potensielle angrep
• Utføre reduksjonsanalyse
• Rettelse av trusler

Identifiserende trusler

Trusselidentifikasjon er det første trinnet som utføres i trusselmodellering. Trusler er de handlingene som en angriper kan klare å utføre hvis det finnes tilsvarende sårbarheter i programmet eller systemet.

For programvareapplikasjoner er det to mnemonikk som brukes som minnestøtte under trusselmodellering. De er

• STRIDE, en liste over grunnleggende trusler (utviklet av Microsoft):
  • Spoofing av brukeridentitet
  • Tampering
  • Repudiation
  • Informasjonsbeskrivelse
  • Nektetjenesten
  • Forhøyelse av privilegium
• Skade
  • Reproducerbarhet
  • Utnyttbarhet
  • Berørte brukere
  • Discoverability
  • Selv om disse mnemonikkene ikke selv inneholder trusler, de hjelper den enkelte som utfører trusselmodellering, ved å minne individet om grunnleggende trusselkategorier (STRIDE) og deres analyse (DREAD).

Vedlegg D og E i NIST SP800-30, Guide for gjennomføring av risikovurderinger, er en god generell kilde til trusler.

Bestemme og skjule potensielle angrep

Etter at trusler er identifisert, fortsetter trusselmodellering ved å lage diagrammer som illustrerer angrep på et program eller system. Et

angrepstreet kan utvikles. Det skisserer trinnene som kreves for å angripe et system. Følgende figur illustrerer et angrepstreet i en mobilbankapplikasjon. Angre tre for en mobil bankapplikasjon.

Et angrepstreet illustrerer trinnene som brukes til å angripe et målsystem.

Utfør reduksjonsanalyse

Når det utføres en trusselanalyse på en kompleks applikasjon eller et system, er det sannsynlig at det vil være mange like elementer som representerer duplikasjoner av teknologi.

Reduksjonsanalyse er et valgfritt trinn i trusselmodellering for å unngå duplisering av innsats. Det er ikke fornuftig å bruke mye tid på å analysere ulike komponenter i et miljø hvis de alle bruker samme teknologi og konfigurasjon. Her er typiske eksempler:

En applikasjon inneholder flere skjemafelter (som er avledet fra samme kildekode) som krever bankkontonummer. Fordi alle feltinngangsmodulene bruker samme kode, må detaljert analyse bare gjøres en gang.

• En applikasjon sender flere forskjellige typer meldinger over samme TLS-forbindelse. Fordi det samme sertifikatet og tilkoblingen blir brukt, må det utføres en detaljert analyse av TLS-tilkoblingen en gang.
• Teknologier og prosesser for å rette opp trusler

På samme måte som i rutinemessig risikoanalyse er neste trinn i trusselanalyse oppregningen av potensielle tiltak for å redusere den identifiserte trusselen. Fordi karakteren av trusler varierer mye, kan rydding bestå av ett eller flere av følgende for hver risiko:

Endre kildekoden (for eksempel legge til funksjoner for å nøye undersøke innsendingsfelt og filtrere ut injeksjonsangrep).

• Endre konfigurasjon (for eksempel bytte til en sikrere krypteringsalgoritme, eller utløp passord oftere).
• Endre forretningsprosess (for eksempel legge til eller endre trinn i en prosess eller prosedyre for å registrere eller undersøke viktige data).
• Endre personell (for eksempel gi opplæring, flytt ansvar for en oppgave til en annen person)
• Husk at de fire alternativene for risikebehandling er begrensning, overføring, unnvikelse og aksept. I tilfelle av trusselmodellering kan enkelte trusler bli akseptert som-er.