STRIDEとPASTAによる脅威モデリング

脅威モデリングとは、開発前または設計レビュー中に、システムに対するセキュリティ脅威を特定し、優先順位を付け、対処するための体系的なプロセスです。脅威モデリングでは、「何を構築するのか？」「何が問題になる可能性があるのか？」「どのように修正するのか？」「結果はどの程度十分なのか？」という問いに答えます。

設計時（最も価値が高く、修正コストが最も低い時点）、主要機能の開発中、アーキテクチャの変更後、そして本番システムでは定期的に脅威モデリングを行ってください。脅威モデリングで見つかった設計上の欠陥を修正するコストは、本番環境で見つけた場合の60分の1です。

STRIDEは、Microsoftが開発した脅威分類のための記憶法を用いたフレームワークです。各文字は脅威カテゴリを表します。なりすまし（Spoofing）、改ざん（Tampering）、否認（Repudiation）、情報漏えい（Information Disclosure）、サービス拒否（Denial of Service）、権限昇格（Elevation of Privilege）です。アーキテクチャ内の各コンポーネントにSTRIDEを体系的に適用してください。

なりすまし（Spoofing）：攻撃者が正規のユーザー、サービス、またはコンポーネントになりすますことはできますか？ 対策：強力な認証、証明書。改ざん（Tampering）：攻撃者が転送中または保存中のデータを変更できますか？ 対策：デジタル署名、HMAC、整合性チェック、TLS。

否認（Repudiation）：ユーザーが自分の行った操作を否定できますか？ 対策：監査ログ、デジタル署名。情報漏えい（Information Disclosure）：機密データが露出する可能性はありますか？ 対策：暗号化、アクセス制御。サービス拒否（Denial of Service）：可用性が妨害される可能性はありますか？ 対策：レート制限、冗長化、入力検証。

攻撃者が意図された範囲を超える高い権限を取得できますか？ システム内のすべての権限レベルを対応付けてください。次の点を確認します。低権限ユーザーが管理者機能にアクセスできますか？ ユーザープロセスがサンドボックスから脱出できますか？ 権限昇格につながる各経路には、アクセス制御による対策が必要です。

プロセス、データストア、外部エンティティ、データフローを示し、信頼境界を明記したDFDを作成してください。各要素と信頼境界の各通過箇所から、STRIDEの脅威が生じます。DFDは、攻撃対象領域の見落としを防ぐ体系的な構造を提供します。

Process for Attack Simulation and Threat Analysis（PASTA）は、リスクを中心とした脅威モデリング方法論で、7つの段階から成ります。目的の定義、技術的範囲の定義、アプリケーションの分解、脅威の分析、脆弱性の特定、攻撃の列挙、そして対策を含むリスク分析の実施です。

STRIDEはコンポーネントを中心とし、DFDから脅威を体系的に生成します。PASTAはリスクを中心とし、ビジネス目標から始めて技術的な脅威へと掘り下げます。STRIDEは開発チームで効果を発揮し、PASTAはリスク管理や経営層とのコミュニケーションにより適しています。

攻撃ツリーは、ルートとなる脅威の目標（例：「認証トークンを盗む」）を、代替となる攻撃経路のサブツリーに分解します。各リーフは、具体的で実行可能な個別の攻撃を表します。ブール論理（AND/OR）は、攻撃を成功させるためにすべてのサブ条件、またはいずれかのサブ条件が真でなければならないかを表します。

OWASP Threat Dragonは、無料で利用できるオープンソースのDFDベース脅威モデリングツールです。Microsoft Threat Modeling Toolには、STRIDEベースのエンジンが含まれています。IriusRiskとThreatModelerは商用の選択肢であり、JiraやCI/CDパイプラインと統合して継続的な脅威モデリングを実現できます。

強力な監査ログとデジタル署名を実装することで、STRIDEのどの脅威を軽減できますか？

STRIDEを用いた脅威モデリングは、データフロー図から脅威を体系的に生成します。一方、PASTAはビジネス目標から始める、リスクを中心としたアプローチを取ります。どちらも、コードの作成やデプロイの前にセキュリティ管理策を選択するための、優先順位付けされた脅威リストを作成します。