Security Champion e threat modeling

Un Security Champion è uno sviluppatore o un ingegnere inserito in un team di prodotto che svolge il ruolo di referente per la sicurezza. Non è un professionista della sicurezza a tempo pieno, ma ha ricevuto una formazione aggiuntiva sulla sicurezza e promuove le relative pratiche all'interno del team.

Un programma per i champion diffonde le competenze di sicurezza in tutta l'organizzazione:

• 1-2 champion per ogni team di prodotto
• Formazione periodica e riunioni con il team di sicurezza
• Responsabilità delle revisioni di sicurezza nel proprio team
• Collegamento tra i team di sviluppo e di sicurezza
• Riduzione del collo di bottiglia causato dalle revisioni di sicurezza centralizzate

Il threat modeling è un'analisi strutturata delle potenziali minacce a un sistema, svolta prima di costruirlo. Risponde alle domande:

• Che cosa stiamo costruendo?
• Che cosa può andare storto?
• Che cosa faremo al riguardo?
• Abbiamo svolto un lavoro sufficientemente accurato?

STRIDE è la tassonomia di threat modeling più diffusa:

• Spoofing — impersonificazione di un altro utente o sistema
• Tampering — modifica di dati o codice
• Repudiation — negazione di aver compiuto un'azione
• Information disclosure — esposizione di dati a soggetti non autorizzati
• Denial of service — interruzione della disponibilità
• Elevation of privilege — ottenimento di autorizzazioni non consentite

La modellazione delle minacce inizia con un diagramma del flusso dei dati che mostra:

• Processi — componenti dell'applicazione
• Archivi dati — database, file, cache
• Entità esterne — utenti, API di terze parti
• Flussi di dati — come i dati si spostano tra i componenti
• Confini di fiducia — dove cambia il livello di privilegio

Applichi ogni categoria STRIDE a ciascun elemento:

• A ogni attraversamento di un confine di fiducia: Spoofing, Tampering
• In ogni archivio dati: Tampering, Information Disclosure
• In ogni processo: si applicano tutte le categorie STRIDE
• Per ogni flusso di dati: Tampering, Information Disclosure

PASTA è una metodologia di modellazione delle minacce incentrata sul rischio e articolata in sette fasi:

1. Definizione degli obiettivi aziendali
2. Definizione dell'ambito tecnico
3. Scomposizione dell'applicazione
4. Analisi delle minacce
5. Analisi delle vulnerabilità e delle debolezze
6. Modellazione degli attacchi
7. Analisi del rischio e dell'impatto

Esegua la modellazione delle minacce:

• Quando progetta nuove funzionalità o nuovi sistemi
• Quando l'architettura cambia in modo significativo
• Dopo un incidente di sicurezza (aggiorni il modello)
• Ogni anno per i sistemi critici

La modellazione precoce delle minacce previene costose rielaborazioni — le modifiche all'architettura sono economiche prima di scrivere il codice.

Strumenti per la modellazione delle minacce:

• OWASP Threat Dragon — editor DFD gratuito basato sul web
• Microsoft Threat Modeling Tool — incentrato su STRIDE, per Windows
• IriusRisk — soluzione enterprise integrata con Jira
• draw.io — per semplici DFD manuali

I security champion rendono accessibile la modellazione delle minacce:

• Presentare le minacce come user story: «In qualità di attaccante, posso...»
• Mappare le minacce sull'OWASP Top 10 per facilitarne la comprensione
• Creare ticket relativi ai requisiti di sicurezza nello stesso backlog
• Misurare il debito di sicurezza insieme al debito tecnico

Risultati della modellazione delle minacce:

• Registro delle minacce con tutte le minacce identificate
• Valutazione del rischio per ogni minaccia (probabilità × impatto)
• Misure di mitigazione per ogni minaccia
• Requisiti di sicurezza per il backlog
• DFD documentato e archiviato insieme alla documentazione di progettazione

Nel modello STRIDE, quale categoria descrive un attaccante che modifica i dati durante il loro trasferimento tra due sistemi?

I security champion integrano le conoscenze di sicurezza nei team di prodotto, estendendo la sicurezza senza creare colli di bottiglia. La modellazione delle minacce (STRIDE, PASTA) identifica le minacce prima che venga scritto il codice utilizzando i diagrammi del flusso dei dati. Categorie STRIDE: Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege. Risultato: registro delle minacce con valutazioni del rischio e ticket di sicurezza nel backlog.