Datenflussdiagramme und Vertrauensgrenzen

Sie können Bedrohungen in einem System nicht erkennen, wenn Sie es nicht verstehen. Ein Datenflussdiagramm (DFD) bildet die Grundlage des Threat Modelings: Es zeigt visuell, wie sich Daten durch Ihr System bewegen.

Das Diagramm macht implizite Annahmen sichtbar. Sobald Sie erkennen können, wohin Daten fließen und wer auf sie zugreift, lassen sich Bedrohungen deutlich leichter identifizieren.

Ein DFD verwendet nur vier Bausteine. Halten Sie sie einfach:

• Externe Entität — eine Person oder ein System außerhalb Ihrer Kontrolle (Benutzer, Drittanbieter-API)
• Prozess — etwas, das Daten transformiert (ein Dienst, eine Funktion)
• Datenspeicher — ein Ort, an dem Daten gespeichert werden (Datenbank, Datei, Cache)
• Datenfluss — die Bewegung von Daten zwischen Elementen (ein Pfeil)

Nahezu jedes System lässt sich mit diesen vier Formen darstellen.

DFDs verwenden herkömmliche Symbole, damit sie von allen gelesen werden können:

Betrachten Sie eine einfache Webanwendung. Ihr DFD könnte in Textform so aussehen:

Eine Vertrauensgrenze ist jede Linie in Ihrem Diagramm, an der sich das Vertrauensniveau ändert. Auf der einen Seite sind Daten oder Aufrufer vertrauenswürdig, auf der anderen nicht.

Vertrauensgrenzen sind das sicherheitsrelevanteste Merkmal eines DFD, weil sie markieren, wo:

• Daten validiert werden sollten
• Aufrufer authentifiziert und autorisiert werden sollten
• sich Berechtigungsstufen ändern

Die meisten Schwachstellen entstehen genau dort, wo Daten eine Vertrauensgrenze überschreiten.

Sobald Sie darauf achten, finden Sie Vertrauensgrenzen überall. Häufige Beispiele:

• Das Internet zu Ihrer Anwendung (nicht vertrauenswürdige Benutzereingaben treffen ein)
• Die Anwendung zur Datenbank
• Zwischen einem Prozess mit geringen und hohen Berechtigungen
• Zwischen Ihrem System und einer Drittanbieter-API
• Zwischen einem Container und dem Host
• Über Netzwerksegmente hinweg (DMZ zum internen Netzwerk)

Jede Grenze sollte ausdrücklich geprüft werden.

Fügen Sie Vertrauensgrenzen als gestrichelte Linien hinzu, die die von ihnen betroffenen Datenflüsse kreuzen. In unserer Webanwendung:

Vertrauensgrenzen verbinden dieses Kapitel mit STRIDE. Die Datenflüsse, die eine Grenze überschreiten, sind der Schwerpunkt Ihrer STRIDE-Analyse.

Fragen Sie an der Grenze zwischen Internet und Anwendung:

• Spoofing — ist der Aufrufer authentifiziert?
• Tampering — werden Eingaben validiert?
• Information Disclosure — ist der Kanal verschlüsselt?
• Denial of Service — gibt es Rate Limiting?

Grenzen verwandeln ein abstraktes Framework in konkrete Fragen.

Ein DFD kann zu vage oder zu detailliert sein. Beides ist problematisch.

• Zu abstrakt — ein einzelnes Kästchen mit der Beschriftung „das System“ verbirgt alle interessanten Grenzen
• Zu detailliert — jede Funktion und Variable wird dargestellt, sodass Sie in einer Flut von Details untergehen

Streben Sie die Ebene an, auf der jede wichtige Komponente und Vertrauensgrenze sichtbar ist. Verwenden Sie mehrschichtige DFDs: ein Kontextdiagramm für das gesamte System und anschließend separate Detaildarstellungen komplexer Prozesse.

Ein von einer einzelnen Person gezeichnetes DFD enthält normalerweise falsche Annahmen. Gehen Sie es mit den Personen durch, die das System entwickelt haben.

Stellen Sie gezielte Fragen:

• Ist dies wirklich der einzige Weg, auf dem Daten die Datenbank erreichen?
• Gibt es hier nicht dargestellte Admin- oder Batch-Pfade?
• Umgeht irgendetwas diesen Authentifizierungsschritt?
• Gibt es an anderer Stelle zwischengespeicherte Kopien dieser Daten?

Verborgene Datenflüsse sind eine häufige Ursache für übersehene Schwachstellen.

Systeme verändern sich, und ein veraltetes DFD wird irreführend. Ein veraltetes Diagramm ist schlimmer als gar keines, weil es ein falsches Gefühl der Sicherheit vermittelt.

Aktualisieren Sie das DFD, wenn:

• eine neue Integration oder externe Abhängigkeit hinzukommt
• ein neuer Datenspeicher angelegt wird
• sich das Vertrauensmodell ändert (ein Dienst in eine neue Netzwerkzone verschoben wird)

Betrachten Sie das DFD als Dokumentation, die gemeinsam mit dem System gepflegt wird, nicht als einmalig erstelltes Artefakt.

Testen Sie Ihr Verständnis von DFDs und Vertrauensgrenzen.

Sie haben gelernt, Systeme für das Threat Modeling abzubilden:

• Ein DFD verwendet vier Elemente: externe Entitäten, Prozesse, Datenspeicher und Datenflüsse
• Vertrauensgrenzen markieren, wo sich das Vertrauen ändert und die meisten Schwachstellen liegen
• Datenflüsse, die eine Grenze überschreiten, stehen im Mittelpunkt der STRIDE-Analyse
• Wählen Sie den richtigen Detaillierungsgrad und verwenden Sie geschichtete Diagramme
• Validieren Sie das DFD gemeinsam mit dem Team und halten Sie es aktuell

Als Nächstes bewerten Sie Bedrohungen mithilfe von Angriffsbaumdiagrammen und priorisieren Gegenmaßnahmen.