Alberi degli attacchi e definizione delle priorità dei rischi

Un albero degli attacchi è un diagramma che modella il modo in cui un attaccante potrebbe raggiungere un obiettivo. L'obiettivo si trova alla radice e i rami mostrano i diversi percorsi e sottopassi necessari per raggiungerlo.

Mentre STRIDE enumera i tipi di minaccia, gli alberi degli attacchi esplorano i percorsi concreti che un attaccante potrebbe seguire. Sono particolarmente utili per ragionare su un obiettivo specifico di alto valore.

Il nodo radice è l'obiettivo finale dell'attaccante, ad esempio "rubare i dati di pagamento dei clienti". I nodi figli sono i sotto-obiettivi o i metodi che consentono di raggiungere il nodo padre.

Costruisca l'albero ponendosi ripetutamente la domanda: "Come potrebbe un attaccante realizzare questo nodo?" Ogni risposta diventa un nodo figlio e la scomposizione continua fino a raggiungere azioni foglia concrete e attuabili.

Gli alberi degli attacchi usano due relazioni logiche tra un nodo e i suoi figli:

• Nodi OR — è sufficiente un solo figlio per raggiungere il nodo padre (percorsi alternativi)
• Nodi AND — tutti i figli devono essere raggiunti insieme (passaggi necessari)

Questa distinzione è fondamentale: un nodo OR indica che all'attaccante basta il percorso più facile, mentre un nodo AND lo costringe a superare ogni passaggio.

Ecco un albero degli attacchi testuale per rubare dati di pagamento:

Gli alberi degli attacchi diventano potenti quando si annotano i nodi foglia con attributi che aiutano a stabilire le priorità:

• Costo per l'attaccante
• Difficoltà o competenze necessarie
• Rilevabilità (farà scattare un allarme?)
• Probabilità di successo

Poi si propagano questi attributi verso l'alto nell'albero. In corrispondenza di un nodo OR, l'attaccante sceglie il figlio più economico o più facile, rivelando il punto più debole.

Per stabilire le priorità, serve un punteggio di rischio. La formula classica combina due fattori:

DREAD è un metodo strutturato per valutare le minacce in base a cinque dimensioni. Si assegna un punteggio a ciascuna, poi i valori vengono combinati in un punteggio di priorità:

• Danno — quanto è grave l'impatto?
• Riproducibilità — con quale affidabilità può essere ripetuto?
• Esfruttabilità — quanto è facile da eseguire?
• Affected users — quanti utenti ne sono colpiti?
• Discoverability — quanto è facile da scoprire?

DREAD è in parte soggettivo, quindi usi definizioni coerenti per i punteggi all'interno del team.

Una matrice del rischio mette in relazione la probabilità e l'impatto per offrire una panoramica immediata delle priorità:

Una volta classificate le minacce, decida come gestire ciascuna di esse. Le quattro opzioni sono le stesse della mitigazione STRIDE:

• Mitigare — aggiungere controlli per ridurre la probabilità o l'impatto
• Eliminare — rimuovere del tutto la funzionalità rischiosa
• Trasferire — esternalizzare il rischio tramite un'assicurazione o una terza parte
• Accettare — documentare formalmente l'accettazione di un rischio basso

Destini il budget limitato prima di tutto agli elementi a rischio più elevato; non applichi misure sproporzionate alle minacce a basso rischio.

Una misura di mitigazione ha senso solo se il costo è giustificato dal rischio che riduce. Un controllo che costa più dell'asset che protegge è un investimento inefficiente.

Per ogni controllo candidato, valuti:

• In che misura il controllo riduce il rischio?
• Quanto costa realizzarlo e gestirlo?
• Introduce frizioni o nuovi rischi?

Preferisca controlli che blocchino più percorsi d'attacco contemporaneamente, come l'MFA, che previene molti percorsi di compromissione degli account.

La definizione delle priorità non è un'attività una tantum. Registri ogni minaccia identificata in un registro dei rischi, con il relativo punteggio, la risposta scelta, il responsabile e lo stato.

Riesamini il registro quando:

• Emergono una nuova minaccia o vulnerabilità
• Cambia il valore del sistema o dei suoi asset
• Viene implementata una misura di mitigazione (ricalcoli il punteggio del rischio residuo)

I rischi accettati devono avere una scadenza ed essere riesaminati, non semplicemente accettati e dimenticati.

Verifichi la Sua comprensione degli alberi degli attacchi e della definizione delle priorità del rischio.

Ha imparato a classificare le minacce e a scegliere le misure di mitigazione:

• Gli alberi degli attacchi modellano i percorsi verso l'obiettivo di un attaccante, usando nodi AND (tutti necessari) e OR (ne basta uno)
• Annoti i nodi con costo, difficoltà e rilevabilità per individuare il punto più debole
• Stabilisca le priorità con Rischio = Probabilità x Impatto, il punteggio DREAD e una matrice del rischio
• Scelga di mitigare, eliminare, trasferire o accettare, valutando costi e benefici
• Tenga traccia di tutto in un registro dei rischi e lo riesamini man mano che il sistema evolve

Questo conclude il corso Threat Modeling with STRIDE.