Référents sécurité et modélisation des menaces

Un référent sécurité est un développeur ou un ingénieur intégré à une équipe produit, qui sert d’interlocuteur pour les questions de sécurité. Ce n’est pas un professionnel de la sécurité à temps plein, mais il a reçu une formation complémentaire en sécurité et promeut les bonnes pratiques de sécurité au sein de son équipe.

Un programme de référents permet de diffuser les connaissances en sécurité dans toute l’organisation :

• 1 à 2 référents par équipe produit
• Formations régulières et réunions avec l’équipe de sécurité
• Responsabilité des revues de sécurité dans leur équipe
• Facilitation de la communication entre les équipes de développement et de sécurité
• Réduction du goulot d’étranglement créé par les revues de sécurité centralisées

La modélisation des menaces est une analyse structurée des menaces potentielles pesant sur un système, réalisée avant sa construction. Elle répond aux questions suivantes :

• Que construisons-nous ?
• Qu’est-ce qui peut mal tourner ?
• Que va-t-on faire à ce sujet ?
• Avons-nous fait un travail suffisamment rigoureux ?

STRIDE est la taxonomie de modélisation des menaces la plus courante :

• Surpation d’identité — se faire passer pour un autre utilisateur ou système
• Transformation malveillante — modifier des données ou du code
• Répudiation — nier avoir effectué une action
• Information divulguée — exposer des données à des personnes non autorisées
• Déni de service — perturber la disponibilité
• Élévation de privilèges — obtenir des autorisations non autorisées

La modélisation des menaces commence par un diagramme de flux de données qui montre :

• Processus — composants de l'application
• Magasins de données — bases de données, fichiers, caches
• Entités externes — utilisateurs, interfaces de programmation d'applications de tiers
• Flux de données — manière dont les données circulent entre les composants
• Frontières de confiance — endroits où les privilèges changent

Appliquez chaque catégorie STRIDE à chaque élément :

• À chaque franchissement d'une frontière de confiance : usurpation d'identité, altération
• Dans chaque magasin de données : altération, divulgation d'informations
• Pour chaque processus : toutes les catégories STRIDE s'appliquent
• Pour chaque flux de données : altération, divulgation d'informations

PASTA est une méthodologie de modélisation des menaces axée sur les risques et organisée en sept étapes :

1. Définir les objectifs métier
2. Définir le périmètre technique
3. Décomposer l'application
4. Analyser les menaces
5. Analyser les vulnérabilités et les faiblesses
6. Modéliser les attaques
7. Analyser les risques et les impacts

Effectuez une modélisation des menaces :

• Lors de la conception de nouvelles fonctionnalités ou de nouveaux systèmes
• Lorsque l'architecture évolue de manière importante
• Après un incident de sécurité (mettez le modèle à jour)
• Chaque année pour les systèmes critiques

La modélisation précoce des menaces évite des reprises coûteuses — les changements d'architecture coûtent peu avant l'écriture du code.

Outils de modélisation des menaces :

• OWASP Threat Dragon — éditeur de DFD gratuit accessible sur le web
• Microsoft Threat Modeling Tool — axé sur STRIDE et conçu pour Windows
• IriusRisk — solution d'entreprise qui s'intègre à Jira
• draw.io — pour créer simplement des DFD manuellement

Les champions de la sécurité rendent la modélisation des menaces accessible :

• Présentez les menaces sous forme de récits utilisateur : « En tant qu'attaquant, je peux... »
• Associez les menaces aux 10 principaux risques de l'OWASP pour faciliter leur compréhension
• Créez les tâches correspondant aux exigences de sécurité dans le même carnet de tâches
• Mesurez la dette de sécurité parallèlement à la dette technique

Livrables issus d'un modèle de menaces :

• Registre répertoriant toutes les menaces identifiées
• Évaluation du risque pour chaque menace (probabilité × impact)
• Mesures d'atténuation pour chaque menace
• Exigences de sécurité pour le carnet de tâches
• DFD documenté et conservé avec les documents de conception

Dans le modèle STRIDE, quelle catégorie décrit le fait qu'un attaquant modifie des données en transit entre deux systèmes ?

Les champions de la sécurité intègrent les connaissances en sécurité aux équipes produit, ce qui permet de développer la sécurité sans créer de goulots d'étranglement. La modélisation des menaces (STRIDE, PASTA) identifie les menaces avant l'écriture du code à l'aide de diagrammes de flux de données. Catégories STRIDE : usurpation d'identité, altération, répudiation, divulgation d'informations, déni de service, élévation de privilèges. Résultat : registre des menaces avec évaluations des risques et tâches de sécurité dans le carnet de tâches.