Diagrammi di flusso dei dati e confini di attendibilità

Non può individuare le minacce in un sistema che non comprende. Un diagramma di flusso dei dati (DFD) è la base della modellazione delle minacce: mostra visivamente come si spostano i dati all'interno del sistema.

Il diagramma rende esplicite le assunzioni implicite. Quando può vedere dove vanno i dati e chi li gestisce, individuare le minacce diventa molto più semplice.

Un DFD utilizza solo quattro elementi costitutivi. Li mantenga semplici:

• Entità esterna — una persona o un sistema al di fuori del suo controllo (utente, API di terze parti)
• Processo — qualcosa che trasforma i dati (un servizio, una funzione)
• Archivio dati — il luogo in cui i dati risiedono (database, file, cache)
• Flusso di dati — lo spostamento dei dati tra gli elementi (una freccia)

Quasi ogni sistema può essere rappresentato con queste quattro forme.

I DFD utilizzano forme convenzionali, così chiunque può leggerli:

Consideri una semplice applicazione web. Il relativo DFD potrebbe avere questo aspetto in formato testuale:

Un confine di attendibilità è qualsiasi linea nel diagramma in corrispondenza della quale cambia il livello di fiducia. Da un lato, i dati o i chiamanti sono considerati attendibili; dall'altro, non lo sono.

I confini di attendibilità sono l'elemento più rilevante per la sicurezza di un DFD, perché indicano dove:

• I dati devono essere convalidati
• I chiamanti devono essere autenticati e autorizzati
• Cambiano i livelli di privilegio

La maggior parte delle vulnerabilità si trova esattamente nei punti in cui i dati attraversano un confine di attendibilità.

Non appena inizia a cercarli, si accorgerà che i confini di attendibilità sono ovunque. Ecco alcuni esempi comuni:

• Da Internet all'applicazione (arrivano input non attendibili dagli utenti)
• Dall'applicazione al database
• Tra un processo con privilegi bassi e uno con privilegi elevati
• Tra il sistema e un'API di terze parti
• Tra un container e l'host
• Attraverso i segmenti di rete (dalla DMZ alla rete interna)

Ogni confine merita un'analisi esplicita e approfondita.

Aggiunga i confini di attendibilità come linee tratteggiate che attraversano i flussi di dati interessati. Nella nostra applicazione web:

I confini di attendibilità collegano questa lezione a STRIDE. I flussi di dati che attraversano un confine sono quelli su cui concentrare l'analisi STRIDE.

In corrispondenza del confine tra Internet e applicazione, si chieda:

• Spoofing — il chiamante è autenticato?
• Tampering — l'input è convalidato?
• Divulgazione di informazioni — il canale è cifrato?
• Denial of service — è presente una limitazione della frequenza?

I confini trasformano un framework astratto in domande concrete.

Un DFD può essere troppo vago o troppo dettagliato. In entrambi i casi non funziona.

• Livello troppo alto — un'unica casella con l'etichetta "il sistema" nasconde tutti i confini interessanti
• Troppo dettagliato — ogni funzione e variabile, fino a essere sommersi dal rumore

Punti al livello in cui siano visibili ogni componente principale e ogni confine di attendibilità. Utilizzi DFD stratificati: un diagramma di contesto per l'intero sistema, quindi analizzi separatamente i processi complessi a un livello più dettagliato.

Un DFD disegnato da una sola persona contiene in genere assunzioni errate. Lo esamini insieme alle persone che hanno realizzato il sistema.

Ponga domande mirate:

• È davvero l'unico modo in cui i dati raggiungono il database?
• Esistono percorsi amministrativi o batch non mostrati qui?
• Qualcosa aggira questo passaggio di autenticazione?
• Esistono copie memorizzate nella cache di questi dati altrove?

I flussi di dati nascosti sono una causa frequente di vulnerabilità non individuate.

I sistemi cambiano e un DFD obsoleto diventa fuorviante. Un diagramma non aggiornato è peggiore di nessun diagramma, perché crea una falsa sensazione di sicurezza.

Aggiorni il DFD quando:

• Viene aggiunta una nuova integrazione o dipendenza esterna
• Compare un nuovo archivio dati
• Cambia il modello di fiducia (un servizio passa a una nuova zona di rete)

Consideri il DFD una documentazione che evolve insieme al sistema, non un artefatto creato una volta sola.

Verifichi la Sua comprensione dei DFD e dei confini di fiducia.

Ha imparato a mappare i sistemi per la modellazione delle minacce:

• Un DFD usa quattro elementi: entità esterne, processi, archivi dati e flussi di dati
• I confini di fiducia indicano dove cambia il livello di fiducia e dove si trovano la maggior parte delle vulnerabilità
• I flussi di dati che attraversano un confine sono il punto su cui concentrarsi nell'analisi STRIDE
• Scelga il livello di granularità appropriato e usi diagrammi a più livelli
• Convalidi il DFD con il team e lo mantenga aggiornato

Nella prossima lezione classificherà le minacce con gli alberi degli attacchi e darà priorità alle misure di mitigazione.