Warum Threat Modeling wichtig ist

Threat Modeling ist ein strukturiertes Vorgehen, bei dem identifiziert wird, was in einem System schiefgehen kann, bevor Angreifer dies für Sie herausfinden. Sie analysieren einen Entwurf, erfassen mögliche Bedrohungen und entscheiden, wie diese abgeschwächt werden können.

Es beantwortet vier grundlegende Fragen:

• Was entwickeln wir?
• Was kann schiefgehen?
• Was werden wir dagegen unternehmen?
• Haben wir gute Arbeit geleistet?

Threat Modeling verkörpert das Prinzip Shifting Left: Sicherheitsaspekte werden früh im Entwicklungslebenszyklus berücksichtigt und nicht erst nach dem Deployment.

Die Kosten für die Behebung eines Fehlers steigen dramatisch, je später er entdeckt wird:

• Entwurfsphase — ein Diagramm ändern, nahezu kostenlos
• Entwicklung — einen Teil des Codes neu schreiben
• Produktion — Notfall-Patch, Incident, möglicher Sicherheitsvorfall

Einen Designfehler zu finden, bevor eine einzige Codezeile geschrieben wurde, ist die kostengünstigste verfügbare Lösung.

Threat Modeling erzwingt einen bewussten Perspektivwechsel: Hören Sie auf, darüber nachzudenken, wie das System funktionieren sollte, und beginnen Sie darüber nachzudenken, wie es missbraucht werden kann.

Verteidiger konzentrieren sich naturgemäß auf Funktionen und erfolgreiche Abläufe. Angreifer suchen nach:

• Eingaben, die nicht validiert werden
• Vertrauensannahmen, die gebrochen werden können
• Schritten, die übersprungen oder wiederholt werden können
• Daten, die geschützt werden sollten, es aber nicht sind

Modellierung macht dieses gegnerische Denken systematisch statt zufällig.

Drei Begriffe bilden die Grundlage jedes Threat Models. Halten Sie sie auseinander:

• Asset — etwas Wertvolles, das geschützt werden soll (Kundendaten, Zugangsdaten, Verfügbarkeit)
• Threat — ein potenziell schädliches Ereignis oder ein potenziell schädlicher Akteur (ein Angreifer, der die Daten stiehlt)
• Vulnerability — eine Schwachstelle, durch die eine Bedrohung erfolgreich sein kann (eine fehlende Zugriffskontrolle)

Risiko entsteht, wenn eine Bedrohung eine Schwachstelle gegen ein wertvolles Asset ausnutzen kann.

Sie können nichts schützen, was Sie nicht identifiziert haben. Beginnen Sie jedes Threat Model mit einer Liste der Dinge, die wichtig sind.

Häufige Kategorien von Assets:

Threat Modeling ist zu bestimmten Zeitpunkten besonders wertvoll und nicht als einmalige Maßnahme:

• beim Entwurf eines neuen Systems oder einer neuen Funktion
• bei einer wesentlichen Änderung der Architektur
• beim Hinzufügen einer neuen Vertrauensgrenze (einer neuen Integration oder externen API)
• nach einem Sicherheitsvorfall, um damit verbundene Lücken zu finden

Reife Teams betrachten es als fortlaufende Aktivität und überprüfen das Modell erneut, wenn sich das System weiterentwickelt.

Threat Modeling ist Teamarbeit. Ein Modell, das von einer einzelnen Person erstellt wird, lässt zu viel Kontext außer Acht.

Eine effektive Sitzung umfasst:

• Entwickler, die wissen, wie das System tatsächlich funktioniert
• Architekten, die die Absicht hinter dem Design verstehen
• Security Engineers, die Angriffsmuster kennen
• Product Owner, die die geschäftlichen Auswirkungen verstehen

Durch die Kombination dieser Perspektiven werden Bedrohungen sichtbar, die keine einzelne Rolle allein erkennen würde.

Es gibt mehrere strukturierte Methoden, die Sie je nach Bedarf kombinieren können:

• STRIDE — kategorisiert Bedrohungen nach Typ und eignet sich besonders gut für technische Entwürfe (im nächsten Kapitel behandelt)
• PASTA — risikozentriert und verknüpft Bedrohungen mit geschäftlichen Auswirkungen
• Angriffsbäume — bilden die Ziele und Wege eines Angreifers ab
• DREAD — ein Bewertungsmodell zur Priorisierung von Risiken

STRIDE ist der am häufigsten vermittelte Einstieg, weil es systematisch und leicht zugänglich ist.

Ein Threat-Modell ist nur dann nützlich, wenn es umsetzbare Ergebnisse liefert. Zu den typischen Ergebnissen gehören:

• Ein Diagramm des Systems und seiner Vertrauensgrenzen
• Eine kategorisierte Liste der identifizierten Bedrohungen
• Eine Risikobewertung für jede Bedrohung
• Gegenmaßnahmen oder Entscheidungen zur Risikoakzeptanz
• Verantwortlichen zugewiesene Aufgaben

Ein Threat-Modell, das mit einem Dokument endet, auf das niemand reagiert, ist gescheitert.

Threat-Modeling-Vorhaben scheitern oft auf vorhersehbare Weise. Vermeiden Sie diese Fehler:

• Das Meer zum Kochen bringen — den Versuch, das gesamte System auf einmal zu modellieren; grenzen Sie den Umfang stattdessen klar ein
• Analyse-Paralyse — endlose Diskussionen ohne Entscheidungen
• Es als Pflichtübung behandeln — ein Dokument erstellen, um einen Auditor zufriedenzustellen, aber nie danach handeln
• Keine Nachverfolgung — Bedrohungen identifizieren, aber Gegenmaßnahmen nie nachhalten

Halten Sie den Umfang begrenzt, setzen Sie einen festen Zeitrahmen und verknüpfen Sie die Ergebnisse mit konkreten Aufgaben.

Wenn Sie noch nie ein Threat-Modell erstellt haben, beginnen Sie mit diesem schlanken Vorgehen:

• Zeichnen Sie ein einfaches Diagramm Ihres Systems und seiner Datenflüsse
• Markieren Sie, wo Daten eine Vertrauensgrenze überschreiten
• Fragen Sie an jeder Grenze, was ein Angreifer tun könnte
• Notieren Sie die wichtigsten Bedrohungen und jeweils eine Gegenmaßnahme
• Bestimmen Sie Verantwortliche und überprüfen Sie das Modell später erneut

Schon eine 30-minütige Sitzung am Whiteboard erkennt Probleme, die sonst in die Produktion gelangen würden.

Testen Sie Ihr Verständnis der Grundlagen des Threat Modelings.

Sie haben gelernt, warum Threat Modeling wichtig ist:

• Threat Modeling beantwortet strukturiert, was schiefgehen kann, bevor Angreifer es herausfinden
• Es verlagert Security nach links, wodurch Behebungen deutlich günstiger werden
• Unterscheiden Sie Assets, Bedrohungen und Schwachstellen; Risiko entsteht dort, wo sie zusammentreffen
• Modellieren Sie beim Entwurf und bei größeren Änderungen mit einem funktionsübergreifenden Team
• Vermeiden Sie Fehler wie den Versuch, alles auf einmal zu modellieren, und fehlende Nachverfolgung; erzeugen Sie immer umsetzbare Ergebnisse

Als Nächstes lernen Sie das STRIDE-Framework zur Kategorisierung von Bedrohungen kennen.