थ्रेट मॉडलिंग क्यों महत्वपूर्ण है

खतरा-मॉडलिंग सोच में जानबूझकर बदलाव लाती है: यह सोचना बंद कीजिए कि प्रणाली को कैसे काम करना चाहिए और यह सोचना शुरू कीजिए कि उसका दुरुपयोग कैसे किया जा सकता है।

रक्षक स्वाभाविक रूप से सुविधाओं और सफल प्रवाहों पर ध्यान देते हैं। आक्रमणकारी इन चीज़ों को तलाशते हैं:

• ऐसी प्रविष्टियाँ जिनकी जाँच नहीं की जाती
• भरोसे की ऐसी धारणाएँ जिन्हें तोड़ा जा सकता है
• ऐसे चरण जिन्हें छोड़ा या दोहराया जा सकता है
• ऐसा डेटा जिसे सुरक्षित रखा जाना चाहिए, लेकिन रखा नहीं गया है

रूपांकन इस प्रतिद्वंद्वी-दृष्टि वाली सोच को आकस्मिक के बजाय व्यवस्थित बनाता है।

तीन शब्द हर खतरा-मॉडल का आधार होते हैं। इन्हें अलग-अलग समझिए:

• संपत्ति — सुरक्षा के योग्य कोई मूल्यवान वस्तु (ग्राहक डेटा, अभिगम-प्रमाण और उपलब्धता)
• खतरा — कोई संभावित हानिकारक घटना या पक्ष (जैसे कोई आक्रमणकारी डेटा चुरा रहा हो)
• कमजोरी — ऐसी खामी जो किसी खतरे को सफल होने देती है (जैसे पहुँच की जाँच का न होना)

जोखिम तब पैदा होता है, जब कोई खतरा किसी मूल्यवान संपत्ति के विरुद्ध किसी कमजोरी का लाभ उठा सकता है।

जिसे आपने पहचाना ही नहीं है, उसकी सुरक्षा नहीं कर सकते। हर खतरा-मॉडल की शुरुआत महत्वपूर्ण चीज़ों की सूची बनाने से कीजिए।

संपत्तियों की सामान्य श्रेणियाँ:

खतरा-मॉडलिंग किसी एक बार होने वाली घटना के बजाय विशेष अवसरों पर सबसे अधिक उपयोगी होती है:

• जब कोई नई प्रणाली या सुविधा बनाई जा रही हो
• जब प्रणाली-संरचना में महत्वपूर्ण बदलाव किया जा रहा हो
• जब कोई नई भरोसा-सीमा जोड़ी जा रही हो (जैसे नया एकीकरण या बाहरी अनुप्रयोग प्रोग्रामिंग इंटरफ़ेस)
• किसी सुरक्षा घटना के बाद संबंधित कमियाँ ढूँढने के लिए

परिपक्व टीमें इसे एक सतत गतिविधि मानती हैं और प्रणाली के विकसित होने के साथ मॉडल की दोबारा समीक्षा करती रहती हैं।

खतरा-मॉडलिंग सामूहिक कार्य है। एक व्यक्ति द्वारा बनाया गया मॉडल बहुत-सा संदर्भ छोड़ देता है।

एक प्रभावी सत्र में ये लोग शामिल होते हैं:

• विकासकर्ता जो जानते हैं कि प्रणाली वास्तव में कैसे काम करती है
• प्रणाली-स्थापत्य विशेषज्ञ जो रूपरेखा के उद्देश्य को समझते हैं
• सुरक्षा अभियंता जो आक्रमण के तरीकों को जानते हैं
• उत्पाद स्वामी जो व्यावसायिक प्रभाव को समझते हैं

दृष्टिकोणों का यह मेल ऐसे खतरों को सामने लाता है जिन्हें कोई एक भूमिका अकेले नहीं देख पाती।

कई संरचित कार्यप्रणालियाँ उपलब्ध हैं; आवश्यकता के अनुसार आप इन्हें मिला सकते हैं:

• STRIDE — खतरों को प्रकार के अनुसार वर्गीकृत करती है; तकनीकी डिज़ाइनों के लिए उपयोगी है (अगले पाठ में शामिल)
• PASTA — जोखिम-केंद्रित है और खतरों को व्यावसायिक प्रभाव से जोड़ती है
• हमला-वृक्ष — हमलावर के लक्ष्यों और मार्गों का मॉडल बनाते हैं
• DREAD — जोखिम को प्राथमिकता देने का अंक-निर्धारण मॉडल

STRIDE सबसे अधिक सिखाई जाने वाली शुरुआती रूपरेखा है, क्योंकि यह व्यवस्थित और समझने में सरल है।

खतरा मॉडल तभी उपयोगी होता है जब उससे कार्रवाई योग्य परिणाम मिलें। आम तौर पर इसमें ये प्रदत्त सामग्री शामिल होती हैं:

• सिस्टम और उसकी विश्वास-सीमाओं का एक आरेख
• पहचाने गए खतरों की एक वर्गीकृत सूची
• प्रत्येक खतरे का जोखिम-स्तर
• जोखिम-शमन उपाय या स्वीकृत जोखिम से जुड़े निर्णय
• जिम्मेदार लोगों को सौंपे गए कार्य

जो खतरा मॉडल ऐसे दस्तावेज़ पर समाप्त हो जाए जिस पर कोई कार्रवाई न करे, वह विफल हो गया है।

खतरा मॉडलिंग के प्रयास अक्सर अनुमानित तरीकों से विफल होते हैं। इन जालों से बचें:

• सब कुछ एक साथ समेटने की कोशिश — पूरे सिस्टम का एक ही बार में मॉडल बनाने का प्रयास; इसके बजाय दायरा कड़ाई से सीमित करें
• विश्लेषण के कारण जड़ता — बिना किसी निर्णय के अंतहीन चर्चा
• इसे जाँच-सूची की औपचारिकता मानना — परीक्षक को संतुष्ट करने के लिए दस्तावेज़ बनाना और उस पर कभी कार्रवाई न करना
• कार्रवाई का अभाव — खतरों की पहचान करना, लेकिन जोखिम-शमन उपायों पर कभी नज़र न रखना

दायरा सीमित रखें, समय-सीमा तय करें और इसे वास्तविक कार्यों से जोड़ें।

यदि आपने कभी खतरों का मॉडल नहीं बनाया है, तो इस सरल विधि से छोटे स्तर पर शुरुआत करें:

• अपने सिस्टम और डेटा-प्रवाहों का एक सरल आरेख बनाएँ
• चिह्नित करें कि डेटा कहाँ विश्वास-सीमा पार करता है
• प्रत्येक सीमा के लिए पूछें कि हमलावर क्या कर सकता है
• मुख्य खतरों और प्रत्येक के लिए एक जोखिम-शमन उपाय लिखें
• जिम्मेदार लोग तय करें और बाद में फिर से इसकी समीक्षा करें

श्वेतपट पर 30 मिनट का एक सत्र भी उन समस्याओं को पकड़ लेता है, जो अन्यथा उत्पादन वातावरण तक पहुँच जातीं।

आपने सीखा कि खतरा मॉडलिंग क्यों महत्वपूर्ण है:

• खतरा मॉडलिंग व्यवस्थित रूप से यह बताती है कि हमलावरों के पता लगाने से पहले क्या गलत हो सकता है
• यह सुरक्षा को शुरुआती चरण में ले जाती है, जिससे सुधार बहुत कम खर्चीले हो जाते हैं
• संपत्तियों, खतरों और कमज़ोरियों में अंतर समझें; जोखिम इन तीनों के मिलने से बनता है
• डिज़ाइन के समय और बड़े बदलावों के दौरान, विभिन्न क्षेत्रों की टीम के साथ मॉडल बनाएँ
• सब कुछ एक साथ समेटने और कार्रवाई न करने जैसी भूलों से बचें; हमेशा कार्रवाई योग्य परिणाम दें

अगले पाठ में आप खतरों को वर्गीकृत करने के लिए STRIDE रूपरेखा सीखेंगे।