Threat modeling con STRIDE e PASTA

Il threat modeling è un processo strutturato per identificare, stabilire la priorità e affrontare le minacce alla sicurezza di un sistema prima dello sviluppo o durante la revisione della progettazione. Risponde a queste domande: che cosa stiamo costruendo? Che cosa può andare storto? Come possiamo risolverlo? Quanto è efficace il risultato?

Esegua il threat modeling in fase di progettazione (massimo valore e costo di correzione minimo), durante lo sviluppo di funzionalità importanti, dopo modifiche all'architettura e periodicamente per i sistemi in produzione. Il costo per correggere un difetto di progettazione individuato durante il threat modeling è 60 volte inferiore rispetto a quello della sua scoperta in produzione.

STRIDE è un framework mnemonico per la classificazione delle minacce, sviluppato da Microsoft. Ogni lettera rappresenta una categoria di minacce: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service ed Elevation of Privilege. Applichi STRIDE sistematicamente a ogni componente della propria architettura.

Spoofing: un attaccante può impersonare un utente, un servizio o un componente legittimo? Mitigazioni: autenticazione forte, certificati. Tampering: un attaccante può modificare dati in transito o a riposo? Mitigazioni: firme digitali, HMAC, controlli di integrità, TLS.

Repudiation: un utente può negare di aver eseguito un'azione? Mitigazione: audit logging, firme digitali. Information Disclosure: è possibile esporre dati sensibili? Mitigazione: crittografia, controllo degli accessi. Denial of Service: è possibile compromettere la disponibilità? Mitigazione: rate limiting, ridondanza, convalida degli input.

Un attaccante può ottenere privilegi superiori a quelli previsti? Mappi tutti i livelli di privilegio presenti nel sistema. Verifichi: un utente con privilegi ridotti può accedere a funzionalità amministrative? Un processo utente può uscire dalla propria sandbox? Ogni percorso di escalation richiede una mitigazione basata sul controllo degli accessi.

Crei un DFD che mostri processi, archivi di dati, entità esterne e flussi di dati, indicando i confini di fiducia. Ogni elemento e ogni attraversamento di un confine di fiducia genera minacce STRIDE. I DFD forniscono la struttura sistematica necessaria per evitare di trascurare superfici di attacco.

Process for Attack Simulation and Threat Analysis (PASTA) è una metodologia di threat modeling incentrata sul rischio, articolata in sette fasi: definire gli obiettivi, definire l'ambito tecnico, scomporre l'applicazione, analizzare le minacce, identificare le vulnerabilità, enumerare gli attacchi e condurre un'analisi dei rischi con contromisure.

STRIDE è incentrato sui componenti: genera sistematicamente minacce a partire da un DFD. PASTA è incentrata sul rischio: parte dagli obiettivi aziendali e arriva alle minacce tecniche. STRIDE funziona bene nei team di sviluppo; PASTA si allinea meglio alla gestione del rischio e alla comunicazione con i dirigenti.

Gli alberi degli attacchi scompongono un obiettivo di minaccia principale (ad esempio, "rubare il token di autenticazione") in sottoalberi che rappresentano percorsi di attacco alternativi. Ogni foglia è un attacco specifico e concreto. La logica booleana (AND/OR) indica se, per riuscire, l'attacco richiede che siano vere tutte o solo alcune delle sotto-condizioni.

OWASP Threat Dragon è uno strumento gratuito e open source per il threat modeling basato su DFD. Microsoft Threat Modeling Tool include un motore basato su STRIDE. IriusRisk e ThreatModeler sono opzioni commerciali che si integrano con Jira e le pipeline CI/CD per un threat modeling continuo.

Quale minaccia STRIDE viene mitigata implementando un audit logging robusto e firme digitali?

Il threat modeling con STRIDE genera sistematicamente minacce a partire dai diagrammi di flusso dei dati, mentre PASTA adotta un approccio incentrato sul rischio che parte dagli obiettivi aziendali. Entrambi producono elenchi di minacce ordinate per priorità, che guidano la scelta dei controlli di sicurezza prima che il codice venga scritto o distribuito.