Il framework STRIDE

STRIDE è un framework per la classificazione delle minacce sviluppato da Microsoft. Fornisce sei categorie di minacce, così può chiedersi sistematicamente "che cosa potrebbe andare storto?" per ogni componente di un sistema.

STRIDE è un acronimo mnemonico per i sei tipi di minaccia:

• Spoofing
• Tampering
• Repudiation
• Information disclosure
• Denial of service
• Elevation of privilege

Ogni categoria STRIDE rappresenta la violazione di una proprietà di sicurezza desiderabile. Questo abbinamento aiuta a ricordare quale aspetto colpisce ogni minaccia:

Spoofing significa fingere di essere qualcuno o qualcosa che non si è. Viola l'autenticazione.

Esempi:

• Accedere con credenziali rubate
• Falsificare l'indirizzo "From" di un'e-mail
• Creare una pagina di accesso falsa per sottrarre le password
• Impersonare un server attendibile

Mitigazioni tipiche: autenticazione robusta, autenticazione a più fattori, TLS reciproco e firme digitali.

Tampering consiste nella modifica non autorizzata di dati o codice. Viola l'integrità.

Esempi:

• Modificare un campo relativo al prezzo in una richiesta HTTP prima dell'invio
• Modificare un record del database senza autorizzazione
• Inserire codice dannoso in un aggiornamento software
• Modificare un file di log per nascondere un'attività

Mitigazioni: validazione degli input, controlli di integrità (hash/HMAC), firma del codice e controlli degli accessi.

Repudiation consiste nel negare di aver eseguito un'azione quando il sistema non può dimostrare il contrario. Viola il non ripudio.

Esempio: un utente esegue una transazione fraudolenta, poi sostiene di non averla mai effettuata e non esistono log che lo dimostrino.

Mitigazioni:

• Registrazione di audit completa e resistente alle manomissioni
• Firme digitali sulle azioni critiche
• Timestamp sicuri e inoltro dei log a un archivio con scrittura una tantum

La divulgazione di informazioni consiste nell'esporre dati a persone che non dovrebbero poterli vedere. Viola la riservatezza.

Esempi:

• Un database non cifrato che espone i record dei clienti
• Messaggi di errore dettagliati che rivelano stack trace o query
• Un bucket cloud configurato erroneamente ed esposto al pubblico
• Dati sensibili inviati tramite HTTP in chiaro

Mitigazioni: cifratura dei dati in transito e a riposo, accesso con privilegi minimi e gestione attenta degli errori.

Il denial of service (DoS) consiste nel rendere un sistema non disponibile agli utenti legittimi. Viola la disponibilità.

Esempi:

• Saturare un server con traffico (DDoS)
• Una singola query costosa che esaurisce le risorse del database
• Riempire lo spazio su disco con i caricamenti
• Attivare un ciclo infinito o una perdita di risorse

Mitigazioni: limitazione della frequenza, quote, limiti sulle dimensioni degli input, autoscaling e protezione DDoS a monte.

L'elevazione dei privilegi consiste nell'ottenere capacità superiori a quelle per cui si dispone dell'autorizzazione. Viola l'autorizzazione.

Esempi:

• Un utente normale che accede a un endpoint amministrativo
• Sfruttare un bug per eseguire codice come root
• Modificare il proprio ruolo tramite un parametro manipolato
• Uscire da un container per raggiungere l'host

Mitigazioni: applicare l'autorizzazione a ogni richiesta, principio del privilegio minimo e sandboxing.

Il valore di STRIDE deriva dalla sua applicazione metodica. Per ogni elemento del diagramma di progettazione, esamini tutte e sei le categorie e si chieda se la minaccia è applicabile.

Esistono due modi per applicare STRIDE:

• STRIDE per elemento — analizzare ogni componente (processo, archivio dati, entità esterna) rispetto ai tipi di minaccia pertinenti
• STRIDE per interazione — analizzare ogni flusso di dati tra gli elementi

Non tutte le minacce si applicano a ogni elemento. Ad esempio, gli archivi dati raramente fanno "spoofing", ma sono obiettivi privilegiati per il tampering e la divulgazione di informazioni. Utilizzi il sottoinsieme pertinente per ogni elemento.

STRIDE si abbina naturalmente a una strategia di mitigazione. Per ogni minaccia identificata, scelga una delle quattro risposte:

• Mitigare — aggiungere un controllo per ridurre il rischio
• Eliminare — rimuovere la funzionalità o il componente che lo causa
• Trasferire — trasferire il rischio (assicurazione, terze parti)
• Accettare — tollerare consapevolmente un rischio basso

Documenti la decisione relativa a ogni minaccia, così nulla viene ignorato senza essere esaminato.

Metta alla prova le sue conoscenze delle categorie STRIDE.

Ha imparato il framework STRIDE:

• Spoofing (autenticazione), Tampering (integrità), Repudiation (non ripudio)
• Information disclosure (riservatezza), Denial of service (disponibilità), Elevation of privilege (autorizzazione)
• Ogni categoria viola una specifica proprietà di sicurezza
• Applichi STRIDE metodicamente per elemento o per interazione
• Per ogni minaccia, decida se mitigarla, eliminarla, trasferirla o accettarla

Ora mapperà i flussi di dati e i confini di attendibilità per sapere dove applicare STRIDE.