Security Champions und Threat Modeling

Ein Security Champion ist ein Entwickler oder Ingenieur, der in ein Produktteam eingebunden ist und als Ansprechpartner für Sicherheit fungiert. Er ist kein voll ausgebildeter Sicherheitsexperte, verfügt jedoch über zusätzliche Sicherheitsschulungen und setzt sich innerhalb seines Teams für Sicherheitspraktiken ein.

Ein Champion-Programm verbreitet Sicherheitswissen im gesamten Unternehmen:

• 1–2 Champions pro Produktteam
• Regelmäßige Schulungen und Treffen mit dem Sicherheitsteam
• Verantwortung für Sicherheitsprüfungen im eigenen Team
• Verbessert die Kommunikation zwischen Entwicklungs- und Sicherheitsteams
• Verringert den Engpass durch zentralisierte Sicherheitsprüfungen

Threat Modeling ist die strukturierte Analyse potenzieller Bedrohungen für ein System vor dessen Entwicklung. Es beantwortet folgende Fragen:

• Was entwickeln wir?
• Was kann schiefgehen?
• Was werden wir dagegen unternehmen?
• Haben wir unsere Aufgabe ausreichend gut erledigt?

STRIDE ist die am häufigsten verwendete Taxonomie für Threat Modeling:

• Spoofing – Vortäuschen der Identität eines anderen Benutzers oder Systems
• Tampering – Verändern von Daten oder Code
• Repudiation – Abstreiten der Durchführung einer Handlung
• Information Disclosure – Offenlegen von Daten gegenüber unbefugten Parteien
• Denial of Service – Beeinträchtigen der Verfügbarkeit
• Elevation of Privilege – Erlangen unbefugter Berechtigungen

Die Bedrohungsmodellierung beginnt mit einem Datenflussdiagramm, das Folgendes zeigt:

• Prozesse — Anwendungskomponenten
• Datenspeicher — Datenbanken, Dateien, Caches
• Externe Entitäten — Benutzer, Drittanbieter-APIs
• Datenflüsse — wie Daten zwischen Komponenten übertragen werden
• Vertrauensgrenzen — wo sich Berechtigungen ändern

Wenden Sie jede STRIDE-Kategorie auf jedes Element an:

• Bei jedem Überschreiten einer Vertrauensgrenze: Spoofing, Tampering
• Bei jedem Datenspeicher: Tampering, Information Disclosure
• Bei jedem Prozess: Es gelten alle STRIDE-Kategorien
• Für jeden Datenfluss: Tampering, Information Disclosure

PASTA ist eine risikozentrierte Bedrohungsmodellierungsmethode in sieben Phasen:

1. Geschäftsziele definieren
2. Technischen Umfang definieren
3. Anwendung zerlegen
4. Bedrohungen analysieren
5. Schwachstellen und Sicherheitslücken analysieren
6. Angriffe modellieren
7. Risiken und Auswirkungen analysieren

Erstellen Sie ein Bedrohungsmodell:

• Beim Entwurf neuer Funktionen oder Systeme
• Wenn sich die Architektur wesentlich ändert
• Nach einem Sicherheitsvorfall (aktualisieren Sie das Modell)
• Jährlich für kritische Systeme

Eine frühzeitige Bedrohungsmodellierung verhindert teure Nacharbeit — Architekturänderungen sind kostengünstig, bevor Code geschrieben wird.

Tools zur Bedrohungsmodellierung:

• OWASP Threat Dragon — kostenloser, webbasierter DFD-Editor
• Microsoft Threat Modeling Tool — auf STRIDE ausgerichtet, für Windows
• IriusRisk — für Unternehmen, integriert sich in Jira
• draw.io — einfache manuell erstellte DFDs

Security Champions machen Bedrohungsmodellierung zugänglich:

• Formulieren Sie Bedrohungen als User Stories: "Als Angreifer kann ich..."
• Ordnen Sie Bedrohungen zur besseren Einordnung dem OWASP Top 10 zu
• Erstellen Sie Tickets für Sicherheitsanforderungen im selben Backlog
• Messen Sie Sicherheits- und technische Schulden gemeinsam

Ergebnisse eines Bedrohungsmodells:

• Bedrohungsregister mit allen identifizierten Bedrohungen
• Risikobewertung je Bedrohung (Wahrscheinlichkeit × Auswirkung)
• Gegenmaßnahmen für jede Bedrohung
• Sicherheitsanforderungen für den Backlog
• Dokumentiertes DFD, das zusammen mit den Entwurfsdokumenten gespeichert wird

Welche Kategorie im STRIDE-Modell beschreibt, dass ein Angreifer Daten während der Übertragung zwischen zwei Systemen verändert?

Security Champions verankern Sicherheitswissen in Produktteams und skalieren die Sicherheit ohne Engpässe. Die Bedrohungsmodellierung (STRIDE, PASTA) identifiziert Bedrohungen, bevor Code geschrieben wird, und verwendet dazu Datenflussdiagramme. STRIDE-Kategorien: Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege. Ergebnis: ein Bedrohungsregister mit Risikobewertungen und Tickets für Sicherheitsanforderungen im Backlog.