Pourquoi la modélisation des menaces est importante

La modélisation des menaces est une pratique structurée qui consiste à identifier ce qui peut mal tourner dans un système avant que des attaquants ne le découvrent à votre place. Vous analysez une conception, recensez les menaces possibles et décidez de la manière de les atténuer.

Elle répond à quatre questions fondamentales :

• Que construisons-nous ?
• Qu’est-ce qui peut mal tourner ?
• Que allons-nous faire pour y remédier ?
• Avons-nous bien travaillé ?

La modélisation des menaces applique le principe qui consiste à intégrer la sécurité plus tôt : traiter la sécurité dès le début du cycle de développement plutôt qu’après la mise en production.

Le coût de correction d’une faille augmente considérablement à mesure que sa découverte est tardive :

• Phase de conception — modifier un schéma, presque sans coût
• Développement — réécrire une partie du code
• Production — correctif d’urgence, incident et éventuelle compromission

Découvrir une faille de conception avant l’écriture d’une seule ligne de code est la correction la moins coûteuse possible.

La modélisation des menaces impose un changement délibéré de perspective : cessez de réfléchir à la manière dont le système devrait fonctionner et commencez à réfléchir à la manière dont il peut être détourné.

Les défenseurs se concentrent naturellement sur les fonctionnalités et les parcours nominaux. Les attaquants recherchent :

• Des entrées qui ne sont pas validées
• Des hypothèses de confiance qui peuvent être violées
• Des étapes qui peuvent être ignorées ou rejouées
• Des données qui devraient être protégées mais ne le sont pas

La modélisation rend cette réflexion adversariale systématique plutôt qu’accidentelle.

Trois termes sont au cœur de toute modélisation des menaces. Ne les confondez pas :

• Actif — élément de valeur qui mérite d’être protégé (données clients, informations d’identification, disponibilité)
• Menace — événement ou acteur malveillant potentiel (un attaquant qui vole les données)
• Vulnérabilité — faiblesse qui permet à une menace d’aboutir (un contrôle d’accès manquant)

Le risque apparaît lorsqu’une menace peut exploiter une vulnérabilité pour s’en prendre à un actif de valeur.

Vous ne pouvez pas protéger ce que vous n’avez pas identifié. Commencez chaque modélisation des menaces par l’inventaire des éléments importants.

Catégories courantes d’actifs :

La modélisation des menaces est particulièrement utile à certains moments, et non comme événement ponctuel :

• Lors de la conception d’un nouveau système ou d’une nouvelle fonctionnalité
• Lors d’une modification importante de l’architecture
• Lors de l’ajout d’une nouvelle frontière de confiance (une nouvelle intégration ou une interface de programmation externe)
• Après un incident de sécurité pour rechercher les lacunes associées

Les équipes matures considèrent cette activité comme permanente et réexaminent le modèle à mesure que le système évolue.

La modélisation des menaces repose sur le travail d’équipe. Un modèle élaboré par une seule personne ne tient pas compte d’une grande partie du contexte.

Une session efficace réunit :

• Des développeurs qui savent comment le système fonctionne réellement
• Des architectes qui comprennent les intentions de conception
• Des ingénieurs en sécurité qui connaissent les modes opératoires d’attaque
• Des responsables produit qui comprennent les conséquences métier

La diversité des points de vue fait émerger des menaces qu’aucun rôle isolé ne verrait.

Plusieurs méthodologies structurées existent ; vous pouvez les combiner selon vos besoins :

• STRIDE — catégorise les menaces par type ; idéal pour les conceptions techniques (présenté dans la prochaine leçon)
• PASTA — centré sur le risque, relie les menaces à leur impact sur l'activité
• Arbres d'attaque — modélisent les objectifs et les chemins suivis par un attaquant
• DREAD — modèle de notation pour prioriser les risques

STRIDE est le point de départ le plus souvent enseigné, car il est systématique et facile à aborder.

Un modèle de menaces n'est utile que s'il produit des résultats exploitables. Les livrables comprennent généralement :

• Un diagramme du système et de ses frontières de confiance
• Une liste des menaces identifiées, classées par catégorie
• Une évaluation du risque pour chaque menace
• Des mesures d'atténuation ou des décisions d'acceptation du risque
• Des actions à mener attribuées à des responsables

Un modèle de menaces qui aboutit à un document dont personne ne se sert a échoué.

Les démarches de modélisation des menaces échouent souvent de manière prévisible. Évitez ces pièges :

• Vouloir tout modéliser d'un coup — essayer de modéliser l'ensemble du système en une seule fois ; définissez plutôt un périmètre strict
• Paralysie de l'analyse — discussions sans fin, sans aucune décision
• Traiter cela comme une case à cocher — produire un document pour satisfaire un auditeur, sans jamais agir ensuite
• Absence de suivi — identifier les menaces, mais ne jamais suivre les mesures d'atténuation

Gardez un périmètre bien défini, limitez la durée et reliez la démarche à de véritables actions à mener.

Si vous n'avez jamais réalisé de modélisation des menaces, commencez modestement avec cette méthode légère :

• Dessinez un diagramme simple de votre système et de ses flux de données
• Indiquez où les données franchissent une frontière de confiance
• Pour chaque frontière, demandez-vous ce qu'un attaquant pourrait faire
• Notez les principales menaces et une mesure d'atténuation pour chacune
• Attribuez des responsables et revenez-y plus tard

Même une séance de tableau blanc de 30 minutes permet de détecter des problèmes qui atteindraient autrement la production.

Évaluez votre compréhension des fondamentaux de la modélisation des menaces.

Vous avez appris pourquoi la modélisation des menaces est importante :

• La modélisation des menaces permet de déterminer méthodiquement ce qui pourrait mal tourner avant que les attaquants ne le découvrent
• Elle intègre la sécurité plus tôt, ce qui rend les corrections bien moins coûteuses
• Distinguez les actifs, les menaces et les vulnérabilités ; le risque se situe à leur intersection
• Modélisez les menaces lors de la conception et des changements majeurs, avec une équipe pluridisciplinaire
• Évitez les pièges tels que vouloir tout modéliser d'un coup ou ne pas assurer le suivi ; produisez toujours des résultats exploitables

Ensuite, vous découvrirez le cadre STRIDE pour catégoriser les menaces.