Modélisation des menaces avec STRIDE et PASTA

La modélisation des menaces est un processus structuré qui consiste à identifier, à hiérarchiser et à traiter les menaces de sécurité pesant sur un système avant le développement ou pendant une revue de conception. Elle répond aux questions suivantes : que construisons-nous ? Que peut-il mal se passer ? Comment pouvons-nous y remédier ? Quelle est la qualité du résultat ?

Effectuez une modélisation des menaces dès la conception (valeur maximale, correction moins coûteuse), pendant le développement de fonctionnalités majeures, après des changements architecturaux et périodiquement pour les systèmes en production. Le coût de correction d’une faille de conception découverte lors de la modélisation des menaces est 60 fois moindre que celui d’une faille découverte en production.

STRIDE est un cadre mnémotechnique de classification des menaces, mis au point chez Microsoft. Chaque lettre représente une catégorie de menace : usurpation d’identité, falsification, répudiation, divulgation d’informations, déni de service et élévation de privilèges. Appliquez systématiquement STRIDE à chaque composant de votre architecture.

Usurpation d’identité : un attaquant peut-il se faire passer pour un utilisateur, un service ou un composant légitime ? Mesures d’atténuation : authentification forte, certificats. Falsification : un attaquant peut-il modifier des données en transit ou au repos ? Mesures d’atténuation : signatures numériques, HMAC, contrôles d’intégrité, TLS.

Répudiation : un utilisateur peut-il nier avoir effectué une action ? Mesure d’atténuation : journalisation d’audit, signatures numériques. Divulgation d’informations : des données sensibles peuvent-elles être exposées ? Mesure d’atténuation : chiffrement, contrôle d’accès. Déni de service : la disponibilité peut-elle être perturbée ? Mesure d’atténuation : limitation du débit, redondance, validation des entrées.

Un attaquant peut-il obtenir des privilèges supérieurs à ceux prévus ? Cartographiez tous les niveaux de privilèges de votre système. Vérifiez les points suivants : un utilisateur disposant de faibles privilèges peut-il accéder à des fonctionnalités d’administration ? Un processus utilisateur peut-il s’échapper de son bac à sable ? Chaque chemin d’escalade nécessite une mesure d’atténuation fondée sur le contrôle d’accès.

Créez un diagramme de flux de données (DFD) présentant les processus, les magasins de données, les entités externes et les flux de données, avec les limites de confiance indiquées. Chaque élément et chaque franchissement d’une limite de confiance fait apparaître des menaces STRIDE. Les DFD fournissent la structure systématique qui évite d’oublier des surfaces d’attaque.

Le processus de simulation d’attaques et d’analyse des menaces (PASTA) est une méthodologie de modélisation des menaces axée sur le risque, en sept étapes : définir les objectifs, définir le périmètre technique, décomposer l’application, analyser les menaces, identifier les vulnérabilités, recenser les attaques et effectuer une analyse des risques avec des contre-mesures.

STRIDE est axé sur les composants : il génère systématiquement les menaces à partir d’un DFD. PASTA est axé sur le risque : il part des objectifs métier pour aboutir aux menaces techniques. STRIDE convient bien aux équipes de développement ; PASTA s’aligne davantage sur la gestion des risques et la communication avec la direction.

Les arbres d’attaque décomposent un objectif de menace racine (par exemple, « voler un jeton d’authentification ») en sous-arbres représentant différents chemins d’attaque. Chaque feuille correspond à une attaque précise et concrète. La logique booléenne (AND/OR) indique si toutes les sous-conditions ou seulement certaines doivent être vraies pour que l’attaque réussisse.

OWASP Threat Dragon est un outil gratuit et libre de modélisation des menaces fondé sur les DFD. Microsoft Threat Modeling Tool comprend un moteur fondé sur STRIDE. IriusRisk et ThreatModeler sont des options commerciales qui s’intègrent à Jira et aux chaînes CI/CD pour assurer une modélisation continue des menaces.

La modélisation des menaces avec STRIDE génère systématiquement des menaces à partir de diagrammes de flux de données, tandis que PASTA adopte une approche axée sur le risque qui part des objectifs métier. Les deux méthodes produisent des listes de menaces hiérarchisées qui orientent le choix des contrôles de sécurité avant l’écriture ou le déploiement du code.