Mengapa Pemodelan Ancaman Penting

Pemodelan ancaman adalah praktik terstruktur untuk mengidentifikasi hal-hal yang dapat bermasalah dalam suatu sistem sebelum penyerang menemukannya untuk Anda. Anda menganalisis suatu rancangan, menginventarisasi ancaman yang mungkin terjadi, dan menentukan cara menguranginya.

Pemodelan ini menjawab empat pertanyaan inti:

• Apa yang sedang kita bangun?
• Apa yang dapat bermasalah?
• Apa yang akan kita lakukan untuk mengatasinya?
• Apakah kita sudah melakukannya dengan baik?

Pemodelan ancaman mewujudkan prinsip memajukan keamanan ke tahap awal: menangani keamanan sejak awal siklus pengembangan, bukan setelah penerapan.

Biaya untuk memperbaiki kelemahan meningkat drastis jika kelemahan tersebut ditemukan lebih lambat:

• Tahap perancangan — mengubah diagram, hampir tanpa biaya
• Pengembangan — menulis ulang sebagian kode
• Produksi — tambalan darurat, insiden, dan kemungkinan kebocoran

Menemukan kelemahan rancangan sebelum satu baris kode pun ditulis merupakan perbaikan termurah yang tersedia.

Pemodelan ancaman memaksa perubahan pola pikir yang disengaja: berhenti memikirkan bagaimana sistem seharusnya bekerja dan mulai memikirkan bagaimana sistem dapat disalahgunakan.

Pihak yang bertahan secara alami berfokus pada fitur dan alur normal. Penyerang mencari:

• Masukan yang tidak divalidasi
• Asumsi kepercayaan yang dapat dilanggar
• Langkah yang dapat dilewati atau diulangi
• Data yang seharusnya dilindungi tetapi tidak dilindungi

Pemodelan menjadikan pola pikir dari sudut pandang penyerang ini sistematis, bukan kebetulan.

Tiga istilah menjadi dasar setiap pemodelan ancaman. Bedakan ketiganya:

• Aset — sesuatu bernilai yang layak dilindungi (data pelanggan, kredensial, ketersediaan)
• Ancaman — peristiwa buruk atau pelaku yang berpotensi menimbulkan bahaya (penyerang yang mencuri data)
• Kerentanan — kelemahan yang memungkinkan ancaman berhasil (pemeriksaan akses yang tidak ada)

Risiko muncul ketika ancaman dapat mengeksploitasi kerentanan untuk menyerang aset yang berharga.

Anda tidak dapat melindungi sesuatu yang belum Anda identifikasi. Mulailah setiap pemodelan ancaman dengan mencatat hal-hal yang penting.

Kategori aset yang umum:

Pemodelan ancaman paling bermanfaat pada saat-saat tertentu, bukan sebagai kegiatan satu kali:

• Saat merancang sistem atau fitur baru
• Saat melakukan perubahan arsitektur yang signifikan
• Saat menambahkan batas kepercayaan baru (integrasi baru atau antarmuka pemrograman aplikasi eksternal)
• Setelah insiden keamanan untuk menemukan celah yang berkaitan

Tim yang matang memperlakukannya sebagai aktivitas berkelanjutan dan meninjau ulang model seiring berkembangnya sistem.

Pemodelan ancaman adalah upaya tim. Model yang dibuat oleh satu orang akan melewatkan terlalu banyak konteks.

Sesi yang efektif mencakup:

• Pengembang yang mengetahui cara kerja sistem sebenarnya
• Arsitek yang memahami tujuan perancangan
• Insinyur keamanan yang mengetahui pola serangan
• Pemilik produk yang memahami dampak bisnis

Perpaduan perspektif inilah yang mengungkap ancaman yang tidak akan dilihat oleh satu peran saja.

Ada beberapa metodologi terstruktur; Anda dapat memadukannya sesuai kebutuhan:

• STRIDE — mengategorikan ancaman berdasarkan jenisnya; sangat baik untuk rancangan teknis (dibahas pada pelajaran berikutnya)
• PASTA — berpusat pada risiko dan mengaitkan ancaman dengan dampak bisnis
• Pohon serangan — memodelkan tujuan dan jalur penyerang
• DREAD — model penilaian untuk memprioritaskan risiko

STRIDE merupakan titik awal yang paling banyak diajarkan karena sistematis dan mudah dipahami.

Model ancaman hanya berguna jika menghasilkan keluaran yang dapat ditindaklanjuti. Hasil kerja yang biasanya disertakan meliputi:

• Sebuah diagram sistem dan batas kepercayaannya
• Sebuah daftar ancaman yang teridentifikasi, yang dikategorikan
• Sebuah peringkat risiko untuk setiap ancaman
• Mitigasi atau keputusan untuk menerima risiko
• Butir tindakan yang ditugaskan kepada penanggung jawab

Model ancaman yang berakhir sebagai dokumen yang tidak ditindaklanjuti oleh siapa pun berarti gagal.

Upaya pemodelan ancaman sering gagal dengan cara-cara yang dapat diperkirakan. Hindari jebakan berikut:

• Mencoba memodelkan semuanya sekaligus — mencoba memodelkan seluruh sistem sekaligus; batasi cakupannya
• Kelumpuhan analisis — diskusi tanpa akhir tanpa keputusan
• Menganggapnya sekadar formalitas — membuat dokumen untuk memuaskan pemeriksa, tetapi tidak pernah menindaklanjutinya
• Tidak menindaklanjuti — mengidentifikasi ancaman tetapi tidak pernah melacak mitigasinya

Batasi cakupannya, tetapkan batas waktu, dan kaitkan dengan butir tindakan nyata.

Jika Anda belum pernah melakukan pemodelan ancaman, mulailah dari yang kecil dengan langkah sederhana berikut:

• Gambarkan diagram sederhana sistem dan aliran datanya
• Tandai tempat data melintasi batas kepercayaan
• Untuk setiap batas, tanyakan apa yang dapat dilakukan penyerang
• Catat ancaman utama dan satu mitigasi untuk masing-masing ancaman
• Tetapkan penanggung jawab dan tinjau kembali nanti

Bahkan sesi papan tulis selama 30 menit dapat menemukan masalah yang seharusnya sampai ke lingkungan produksi.

Anda telah mempelajari alasan pemodelan ancaman penting:

• Pemodelan ancaman secara sistematis menjawab apa yang dapat salah sebelum penyerang mengetahuinya
• Pemodelan ini menggeser keamanan ke tahap awal, sehingga perbaikan jauh lebih murah
• Bedakan aset, ancaman, dan kerentanan; risiko muncul dari pertemuan ketiganya
• Lakukan pemodelan pada waktu perancangan dan saat terjadi perubahan besar, bersama tim lintas fungsi
• Hindari kesalahan seperti mencoba memodelkan semuanya sekaligus dan tidak menindaklanjuti; selalu hasilkan keluaran yang dapat ditindaklanjuti

Selanjutnya, Anda akan mempelajari kerangka kerja STRIDE untuk mengategorikan ancaman.