Threat Modeling mit STRIDE und PASTA

Bedrohungsmodellierung ist ein strukturierter Prozess, um Sicherheitsbedrohungen für ein System vor der Entwicklung oder während einer Designüberprüfung zu identifizieren, zu priorisieren und zu beheben. Sie beantwortet folgende Fragen: Was entwickeln wir? Was kann schiefgehen? Wie beheben wir das? Wie gut ist das Ergebnis?

Erstellen Sie ein Bedrohungsmodell bereits während des Designs (höchster Nutzen, geringste Behebungskosten), bei der Entwicklung größerer Funktionen, nach Änderungen an der Architektur und regelmäßig für Produktivsysteme. Die Kosten für die Behebung eines Designfehlers, der bei der Bedrohungsmodellierung gefunden wird, sind 60-mal geringer als bei seiner Entdeckung in der Produktion.

STRIDE ist ein bei Microsoft entwickeltes Merkschema und Framework zur Klassifizierung von Bedrohungen. Jeder Buchstabe steht für eine Bedrohungskategorie: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege. Wenden Sie STRIDE systematisch auf jede Komponente Ihrer Architektur an.

Spoofing: Kann ein Angreifer einen legitimen Nutzer, Dienst oder eine Komponente imitieren? Gegenmaßnahmen: starke Authentifizierung, Zertifikate. Tampering: Kann ein Angreifer Daten während der Übertragung oder im Ruhezustand verändern? Gegenmaßnahmen: digitale Signaturen, HMAC, Integritätsprüfungen, TLS.

Repudiation: Kann ein Nutzer bestreiten, eine Handlung ausgeführt zu haben? Gegenmaßnahme: Audit-Logging, digitale Signaturen. Information Disclosure: Können sensible Daten offengelegt werden? Gegenmaßnahme: Verschlüsselung, Zugriffskontrolle. Denial of Service: Kann die Verfügbarkeit beeinträchtigt werden? Gegenmaßnahmen: Rate Limiting, Redundanz, Eingabevalidierung.

Kann ein Angreifer höhere Berechtigungen erlangen als vorgesehen? Erfassen Sie alle Berechtigungsstufen in Ihrem System. Prüfen Sie: Kann ein Nutzer mit geringen Berechtigungen auf Administratorfunktionen zugreifen? Kann ein Nutzerprozess seine Sandbox verlassen? Für jeden Pfad zur Rechteausweitung ist eine Gegenmaßnahme zur Zugriffskontrolle erforderlich.

Erstellen Sie ein DFD, das Prozesse, Datenspeicher, externe Entitäten und Datenflüsse zeigt und mit gekennzeichneten Vertrauensgrenzen versehen ist. Jedes Element und jede Überschreitung einer Vertrauensgrenze erzeugt STRIDE-Bedrohungen. DFDs liefern die systematische Struktur, die verhindert, dass Angriffsflächen übersehen werden.

Process for Attack Simulation and Threat Analysis (PASTA) ist eine risikozentrierte Methodik zur Bedrohungsmodellierung mit sieben Phasen: Ziele definieren, den technischen Umfang festlegen, die Anwendung zerlegen, Bedrohungen analysieren, Schwachstellen identifizieren, Angriffe auflisten und eine Risikoanalyse mit Gegenmaßnahmen durchführen.

STRIDE konzentriert sich auf Komponenten und leitet systematisch Bedrohungen aus einem DFD ab. PASTA konzentriert sich auf Risiken und geht von den Geschäftszielen aus, um sich zu den technischen Bedrohungen vorzuarbeiten. STRIDE eignet sich gut für Entwicklungsteams, während PASTA besser auf das Risikomanagement und die Kommunikation mit Führungskräften abgestimmt ist.

Angriffsbaumdiagramme zerlegen ein übergeordnetes Bedrohungsziel (z. B. „Authentifizierungstoken stehlen“) in Teilbäume mit alternativen Angriffspfaden. Jedes Blatt stellt einen konkreten, spezifischen Angriff dar. Boolesche Logik (AND/OR) gibt an, ob alle oder beliebige Teilbedingungen erfüllt sein müssen, damit der Angriff erfolgreich ist.

OWASP Threat Dragon ist ein kostenloses Open-Source-Werkzeug zur Bedrohungsmodellierung auf DFD-Basis. Microsoft Threat Modeling Tool enthält eine STRIDE-basierte Engine. IriusRisk und ThreatModeler sind kommerzielle Optionen, die für eine kontinuierliche Bedrohungsmodellierung in Jira- und CI/CD-Pipelines integriert werden können.

Welche STRIDE-Bedrohung wird durch die Implementierung eines zuverlässigen Audit-Loggings und digitaler Signaturen eingedämmt?

Die Bedrohungsmodellierung mit STRIDE leitet systematisch Bedrohungen aus Datenflussdiagrammen ab, während PASTA einen risikozentrierten Ansatz verfolgt, der bei den Geschäftszielen beginnt. Beide Methoden erzeugen priorisierte Bedrohungslisten, die bereits vor dem Schreiben oder Bereitstellen von Code die Auswahl geeigneter Sicherheitsmaßnahmen unterstützen.