Attack trees og risikoprioritering

Angrebstræer bruger to logiske relationer mellem en node og dens underordnede noder:

• OR-noder — én hvilken som helst underordnet node er nok til at nå det overordnede mål (alternative veje)
• AND-noder — alle underordnede noder skal opfyldes sammen (påkrævede trin)

Denne forskel er meget vigtig: En OR-node betyder, at en angriber kun behøver at vælge den nemmeste vej, mens en AND-node tvinger angriberen til at gennemføre hvert eneste trin.

Her er et tekstbaseret angrebstræ for tyveri af betalingsdata:

Angrebstræer bliver effektive, når du tilføjer attributter til bladnoderne, som hjælper med at prioritere:

• Omkostning for angriberen
• Sværhedsgrad eller påkrævede færdigheder
• Opdagelighed (udløser handlingen en alarm?)
• Sandsynlighed for succes

Derefter fører du disse oplysninger op gennem træet. I en OR-node vælger angriberen den billigste eller nemmeste underordnede node, hvilket afslører dit svageste led.

Hvis du vil prioritere, skal du bruge en risikoscore. Den klassiske formel kombinerer to faktorer:

DREAD er en struktureret måde at vurdere trusler på tværs af fem dimensioner. Hver dimension vurderes, hvorefter de kombineres til en prioritetsvurdering:

• Damage — hvor alvorlig er konsekvensen?
• Reproducibility — hvor pålideligt kan det gentages?
• Exploitability — hvor let er det at gennemføre?
• Affected users — hvor mange bliver berørt?
• Discoverability — hvor let er det at opdage?

DREAD er til en vis grad subjektiv, så brug ensartede vurderingsdefinitioner i hele teamet.

En risikomatrice afbilder sandsynlighed i forhold til konsekvens, så du hurtigt kan danne dig et overblik over prioriteter:

Når truslerne er rangordnet, skal du beslutte, hvordan hver enkelt skal håndteres. De fire muligheder er de samme som ved risikoreduktion med STRIDE:

• Reducér risikoen — tilføj kontroller for at sænke sandsynligheden eller konsekvensen
• Fjern — fjern den risikable funktion helt
• Overfør — overlad risikoen til et forsikringsselskab eller en tredjepart
• Acceptér — dokumentér formelt, at du accepterer en lav risiko

Brug først dit begrænsede budget på de punkter, der har højest risiko, og brug ikke unødigt mange ressourcer på trusler med lav risiko.

Et risikoreducerende tiltag giver kun mening, hvis omkostningen står mål med den risiko, det reducerer. En kontrol, der koster mere end det aktiv, den beskytter, er en dårlig investering.

For hver mulig kontrol skal du vurdere:

• Hvor meget reducerer kontrollen risikoen?
• Hvor meget koster det at udvikle og drive den?
• Skaber den friktion eller nye risici?

Foretræk kontroller, der blokerer flere angrebsveje på én gang, f.eks. MFA, der lukker mange grene for kontoovertagelse.

Prioritering er ikke en engangsøvelse. Registrér hver identificeret trussel i et risikoregister sammen med dens vurdering, valgte håndtering, ansvarlige person og status.

Gennemgå registret igen, når:

• Der opstår en ny trussel eller sårbarhed
• Systemet eller dets aktiver ændrer værdi
• Et risikoreducerende tiltag implementeres (vurder den resterende risiko igen)

Accepterede risici bør have en udløbsdato og gennemgås igen; de bør ikke bare accepteres og glemmes.

Du har lært at rangordne trusler og vælge risikoreducerende tiltag:

• Angrebstræer modellerer veje til en angribers mål ved hjælp af AND-noder (alle er påkrævede) og OR-noder (én er tilstrækkelig)
• Tilføj omkostning, sværhedsgrad og opdagelighed til noderne for at finde det svageste led
• Prioritér med Risiko = sandsynlighed x konsekvens, DREAD-vurdering og en risikomatrice
• Vælg at reducere risikoen, fjerne, overføre eller acceptere, og afvej omkostning mod fordel
• Registrér alt i et risikoregister, og gennemgå det igen, efterhånden som systemet udvikler sig

Dette afslutter kurset Threat Modeling with STRIDE.