Security Champion dan Pemodelan Ancaman

Duta keamanan adalah pengembang atau rekayasawan yang ditempatkan dalam tim produk dan berperan sebagai penghubung keamanan. Mereka bukan profesional keamanan penuh, tetapi memiliki pelatihan keamanan tambahan dan mengadvokasikan praktik keamanan dalam timnya.

Program duta memperluas pengetahuan keamanan ke seluruh organisasi:

• 1–2 duta per tim produk
• Pelatihan rutin dan rapat dengan tim keamanan
• Bertanggung jawab atas tinjauan keamanan dalam timnya
• Menjembatani komunikasi antara tim pengembangan dan keamanan
• Mengurangi kemacetan akibat tinjauan keamanan terpusat

Pemodelan ancaman adalah analisis terstruktur terhadap potensi ancaman pada suatu sistem sebelum sistem tersebut dibangun. Pemodelan ini menjawab pertanyaan berikut:

• Apa yang sedang kita bangun?
• Apa yang bisa salah?
• Apa yang akan kita lakukan terhadapnya?
• Apakah kita sudah melakukannya dengan cukup baik?

STRIDE adalah taksonomi pemodelan ancaman yang paling umum:

• Spoofing — menyamar sebagai pengguna atau sistem lain
• Tampering — memodifikasi data atau kode
• Repudiation — menyangkal telah melakukan suatu tindakan
• Information disclosure — mengekspos data kepada pihak yang tidak berwenang
• Denial of service — mengganggu ketersediaan
• Elevation of privilege — memperoleh izin yang tidak sah

Pemodelan ancaman dimulai dengan Diagram Aliran Data yang menampilkan:

• Proses — komponen aplikasi
• Penyimpanan data — basis data, berkas, tembolok
• Entitas eksternal — pengguna, antarmuka pemrograman aplikasi pihak ketiga
• Aliran data — cara data berpindah di antara komponen
• Batas kepercayaan — tempat hak istimewa berubah

Terapkan setiap kategori STRIDE pada setiap elemen:

• Pada setiap pelintasan batas kepercayaan: Pemalsuan identitas, Perubahan tanpa izin
• Pada setiap penyimpanan data: Perubahan tanpa izin, Pengungkapan informasi
• Pada setiap proses: semua kategori STRIDE berlaku
• Untuk setiap aliran data: Perubahan tanpa izin, Pengungkapan informasi

PASTA adalah metodologi pemodelan ancaman tujuh tahap yang berpusat pada risiko:

1. Tentukan tujuan bisnis
2. Tentukan cakupan teknis
3. Uraikan aplikasi
4. Lakukan analisis ancaman
5. Lakukan analisis kerentanan dan kelemahan
6. Lakukan pemodelan serangan
7. Lakukan analisis risiko dan dampak

Buat model ancaman:

• Saat merancang fitur atau sistem baru
• Saat arsitektur mengalami perubahan besar
• Setelah insiden keamanan (perbarui modelnya)
• Setiap tahun untuk sistem kritis

Pemodelan ancaman sejak awal mencegah pengerjaan ulang yang mahal — perubahan arsitektur lebih murah sebelum kode ditulis.

Alat untuk pemodelan ancaman:

• OWASP Threat Dragon — editor DFD berbasis web yang gratis
• Microsoft Threat Modeling Tool — berfokus pada STRIDE, berbasis Windows
• IriusRisk — untuk perusahaan, terintegrasi dengan Jira
• draw.io — untuk membuat DFD manual sederhana

Duta keamanan membuat pemodelan ancaman lebih mudah dipahami:

• Nyatakan ancaman sebagai cerita pengguna: "Sebagai penyerang, saya dapat..."
• Petakan ancaman ke 10 Teratas OWASP agar lebih mudah dikenali
• Buat tiket persyaratan keamanan di daftar pekerjaan yang sama
• Ukur utang keamanan bersama utang teknis

Hasil yang diserahkan dari model ancaman:

• Daftar ancaman yang mencantumkan semua ancaman yang teridentifikasi
• Peringkat risiko untuk setiap ancaman (kemungkinan × dampak)
• Mitigasi untuk setiap ancaman
• Persyaratan keamanan untuk daftar pekerjaan
• DFD yang didokumentasikan dan disimpan bersama dokumen rancangan

Duta Keamanan menanamkan pengetahuan keamanan dalam tim produk sehingga keamanan dapat ditingkatkan skalanya tanpa hambatan. Pemodelan ancaman (STRIDE, PASTA) mengidentifikasi ancaman sebelum kode ditulis menggunakan Diagram Aliran Data. Kategori STRIDE: Pemalsuan identitas, Perubahan tanpa izin, Penyangkalan, Pengungkapan informasi, Penolakan layanan, Peningkatan hak istimewa. Keluaran: daftar ancaman dengan peringkat risiko dan tiket keamanan dalam daftar pekerjaan.