نمذجة التهديدات باستخدام STRIDE وPASTA

نمذجة التهديدات هي عملية منهجية لتحديد التهديدات الأمنية التي قد يتعرض لها النظام وترتيب أولوياتها ومعالجتها قبل التطوير أو أثناء مراجعة التصميم. وهي تجيب عن الأسئلة التالية: ما الذي نبنيه؟ ما الذي يمكن أن يحدث بشكل خاطئ؟ كيف نصلحه؟ ما مدى جودة النتيجة؟

ينبغي إجراء نمذجة التهديدات أثناء التصميم، حيث تكون قيمتها الأعلى وتكلفة الإصلاح الأقل، وأثناء تطوير الميزات الرئيسية، وبعد التغييرات المعمارية، وبصفة دورية للأنظمة الموجودة في الإنتاج. وتكون تكلفة إصلاح عيب في التصميم يُكتشف عبر نمذجة التهديدات أقل بـ60 مرة من تكلفة اكتشافه في الإنتاج.

STRIDE هو إطار تصنيفي تذكّري للتهديدات طورته Microsoft. يمثل كل حرف فئة من فئات التهديد: Spoofing (انتحال الهوية)، وTampering (العبث)، وRepudiation (التنصل)، وInformation Disclosure (كشف المعلومات)، وDenial of Service (حجب الخدمة)، وElevation of Privilege (تصعيد الصلاحيات). طبّقوا STRIDE منهجيًا على كل مكوّن في بنيتكم.

انتحال الهوية: هل يستطيع مهاجم انتحال شخصية مستخدم أو خدمة أو مكوّن شرعي؟ إجراءات التخفيف: المصادقة القوية والشهادات. العبث: هل يستطيع مهاجم تعديل البيانات أثناء النقل أو أثناء تخزينها؟ إجراءات التخفيف: التوقيعات الرقمية وHMAC وفحوصات التكامل وTLS.

التنصل: هل يستطيع مستخدم إنكار تنفيذه إجراءً ما؟ إجراء التخفيف: تسجيل التدقيق والتوقيعات الرقمية. كشف المعلومات: هل يمكن كشف بيانات حساسة؟ إجراء التخفيف: التشفير وضبط الوصول. حجب الخدمة: هل يمكن تعطيل التوافر؟ إجراء التخفيف: تحديد معدل الطلبات والتكرار والتحقق من المدخلات.

هل يستطيع مهاجم الحصول على صلاحيات أعلى من المقصودة؟ حدّدوا جميع مستويات الصلاحيات في نظامكم. تحقّقوا مما يلي: هل يستطيع مستخدم منخفض الصلاحيات الوصول إلى وظائف الإدارة؟ هل تستطيع عملية مستخدم الخروج من بيئة العزل الخاصة بها؟ يتطلب كل مسار لتصعيد الصلاحيات إجراءً تخفيفيًا لضبط الوصول.

أنشئوا مخطط تدفق بيانات (DFD) يوضح العمليات ومخازن البيانات والكيانات الخارجية وتدفقات البيانات، مع تحديد حدود الثقة. يولّد كل عنصر وكل عبور لحدود الثقة تهديدات من STRIDE. وتوفر مخططات DFD البنية المنهجية اللازمة لمنع إغفال أسطح الهجوم.

تُعد Process for Attack Simulation and Threat Analysis (PASTA) منهجية لنمذجة التهديدات تتمحور حول المخاطر وتتكون من سبع مراحل: تحديد الأهداف، وتحديد النطاق التقني، وتفكيك التطبيق، وتحليل التهديدات، وتحديد الثغرات، وحصر الهجمات، وإجراء تحليل للمخاطر مع وضع الإجراءات المضادة.

يركز STRIDE على المكوّنات، إذ يولّد التهديدات منهجيًا انطلاقًا من مخطط تدفق البيانات. أما PASTA فيركز على المخاطر، إذ يبدأ من أهداف العمل وينتقل إلى التهديدات التقنية. ويعمل STRIDE جيدًا ضمن فرق التطوير، بينما يتوافق PASTA بصورة أفضل مع إدارة المخاطر والتواصل مع التنفيذيين.

تفكك أشجار الهجوم هدف تهديد أساسيًا، مثل «سرقة رمز المصادقة»، إلى أشجار فرعية لمسارات هجوم بديلة. وتمثل كل ورقة هجومًا محددًا وملموسًا. ويمثل المنطق البولياني (AND/OR) ما إذا كان يجب تحقق جميع الشروط الفرعية أو أيٍّ منها لنجاح الهجوم.

تُعد OWASP Threat Dragon أداة مجانية ومفتوحة المصدر لنمذجة التهديدات تستند إلى DFD. وتتضمن Microsoft Threat Modeling Tool محركًا يستند إلى STRIDE. أما IriusRisk وThreatModeler فهما خياران تجاريان يتكاملان مع Jira وخطوط CI/CD لنمذجة التهديدات بصورة مستمرة.

أي تهديد من تهديدات STRIDE تخفف من حدته الاستعانة بتسجيل تدقيق قوي وتوقيعات رقمية؟

تولّد نمذجة التهديدات باستخدام STRIDE التهديدات منهجيًا من مخططات تدفق البيانات، بينما تتبع PASTA نهجًا يتمحور حول المخاطر ويبدأ من أهداف العمل. وينتج كلاهما قوائم تهديدات مرتبة حسب الأولوية لتوجيه اختيار الضوابط الأمنية قبل كتابة الشفرة أو نشرها.