Das STRIDE-Framework

STRIDE ist ein von Microsoft entwickeltes Framework zur Kategorisierung von Bedrohungen. Es stellt sechs Bedrohungskategorien bereit, sodass Sie für jede Komponente eines Systems systematisch fragen können: „Was könnte schiefgehen?“

STRIDE ist ein Merkspruch für die sechs Bedrohungstypen:

• Spoofing
• Tampering
• Repudiation
• Information Disclosure
• Denial of Service
• Elevation of Privilege

Jede STRIDE-Kategorie stellt die Verletzung einer wünschenswerten Sicherheitseigenschaft dar. Diese Zuordnung hilft Ihnen, sich zu merken, welche Bedrohung jeweils angegriffen wird:

Spoofing bedeutet, vorzugeben, jemand oder etwas zu sein, der bzw. das man nicht ist. Dadurch wird die Authentifizierung verletzt.

Beispiele:

• Anmelden mit gestohlenen Zugangsdaten
• Fälschen der From-Adresse einer E-Mail
• Einrichten einer gefälschten Anmeldeseite, um Passwörter abzugreifen
• Vortäuschen eines vertrauenswürdigen Servers

Typische Gegenmaßnahmen sind starke Authentifizierung, Multi-Faktor-Authentifizierung, gegenseitiges TLS und digitale Signaturen.

Tampering ist die unbefugte Änderung von Daten oder Code. Dadurch wird die Integrität verletzt.

Beispiele:

• Ändern eines Preisfelds in einer HTTP-Anfrage vor dem Absenden
• Ändern eines Datenbankeintrags ohne Berechtigung
• Einschleusen von schädlichem Code in ein Softwareupdate
• Ändern einer Protokolldatei, um Aktivitäten zu verbergen

Gegenmaßnahmen sind Eingabevalidierung, Integritätsprüfungen (Hashwerte/HMAC), Codesignierung und Zugriffskontrollen.

Repudiation bedeutet, dass ein Benutzer bestreitet, eine Aktion ausgeführt zu haben, obwohl das System das Gegenteil nicht beweisen kann. Dadurch wird die Nichtabstreitbarkeit verletzt.

Beispiel: Ein Benutzer führt eine betrügerische Transaktion durch, behauptet anschließend, dies nie getan zu haben, und es gibt keine Protokolle, die das Gegenteil belegen.

Gegenmaßnahmen:

• Umfassende, manipulationssichere Audit-Protokollierung
• Digitale Signaturen für kritische Aktionen
• Sichere Zeitstempel und Weiterleitung von Protokollen an einen einmal beschreibbaren Speicher

Information Disclosure bedeutet, Daten Personen zugänglich zu machen, die sie nicht sehen dürfen. Dadurch wird die Vertraulichkeit verletzt.

Beispiele:

• Eine unverschlüsselte Datenbank gibt Kundendatensätze preis
• Ausführliche Fehlermeldungen verraten Stacktraces oder Abfragen
• Ein falsch konfigurierter Cloud-Bucket ist öffentlich zugänglich
• Sensible Daten werden über unverschlüsseltes HTTP übertragen

Gegenmaßnahmen sind Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nach dem Prinzip der geringsten Rechte und sorgfältige Fehlerbehandlung.

Denial of Service (DoS) bedeutet, ein System für legitime Benutzer nicht verfügbar zu machen. Dadurch wird die Verfügbarkeit verletzt.

Beispiele:

• Überfluten eines Servers mit Datenverkehr (DDoS)
• Eine einzelne aufwendige Abfrage erschöpft die Datenbankressourcen
• Füllen des Speicherplatzes durch Uploads
• Auslösen einer Endlosschleife oder eines Ressourcenlecks

Gegenmaßnahmen sind Rate Limiting, Quoten, Eingabegrößenlimits, Autoskalierung und vorgeschalteter DDoS-Schutz.

Elevation of Privilege bedeutet, Berechtigungen zu erlangen, die über die autorisierten hinausgehen. Dadurch wird die Autorisierung verletzt.

Beispiele:

• Ein normaler Benutzer greift auf einen Admin-Endpunkt zu
• Ausnutzen eines Fehlers, um Code als root auszuführen
• Ändern der eigenen Rolle über einen manipulierten Parameter
• Ausbrechen aus einem Container, um auf den Host zuzugreifen

Gegenmaßnahmen sind die Durchsetzung der Autorisierung bei jeder Anfrage, das Prinzip der geringsten Rechte und Sandboxing.

Die Stärke von STRIDE liegt in der methodischen Anwendung. Gehen Sie für jedes Element in Ihrem Entwurfsdiagramm alle sechs Kategorien durch und prüfen Sie, ob die jeweilige Bedrohung zutrifft.

STRIDE lässt sich auf zwei Arten anwenden:

• STRIDE-per-element — analysiert jede Komponente (Prozess, Datenspeicher, externe Entität) im Hinblick auf relevante Bedrohungstypen
• STRIDE-per-interaction — analysiert jeden Datenfluss zwischen den Elementen

Nicht jede Bedrohung trifft auf jedes Element zu. Datenspeicher sind beispielsweise selten von Spoofing betroffen, aber sie sind wichtige Ziele für Tampering und Information Disclosure. Verwenden Sie für jedes Element nur die relevante Teilmenge.

STRIDE lässt sich gut mit einer Strategie für Gegenmaßnahmen verbinden. Für jede identifizierte Bedrohung wählen Sie eine von vier Reaktionen:

• Mitigate — fügen Sie eine Kontrolle hinzu, um das Risiko zu verringern
• Eliminate — entfernen Sie das verursachende Feature oder die entsprechende Komponente
• Transfer — verlagern Sie das Risiko (Versicherung, Drittanbieter)
• Accept — tolerieren Sie ein geringes Risiko bewusst

Dokumentieren Sie die Entscheidung für jede Bedrohung, damit nichts stillschweigend ignoriert wird.

Testen Sie Ihr Wissen über die STRIDE-Kategorien.

Sie haben das STRIDE-Framework kennengelernt:

• Spoofing (Authentifizierung), Tampering (Integrität), Repudiation (Nichtabstreitbarkeit)
• Information Disclosure (Vertraulichkeit), Denial of Service (Verfügbarkeit), Elevation of Privilege (Autorisierung)
• Jede Kategorie verletzt eine bestimmte Sicherheitseigenschaft
• Wenden Sie STRIDE methodisch pro Element oder pro Interaktion an
• Entscheiden Sie für jede Bedrohung, ob Sie sie mitigieren, beseitigen, übertragen oder akzeptieren

Als Nächstes ordnen Sie Datenflüsse und Vertrauensgrenzen zu, um zu wissen, wo Sie STRIDE anwenden müssen.