Mengapa Pemodelan Ancaman Penting

Pemodelan ancaman memaksa perubahan cara berfikir yang disengajakan: berhenti memikirkan cara sistem sepatutnya berfungsi dan mula memikirkan cara sistem itu boleh disalahgunakan.

Pasukan pertahanan secara semula jadi menumpukan perhatian pada ciri dan aliran biasa yang berjaya. Penyerang mencari:

• Data masukan yang tidak disahkan
• Andaian kepercayaan yang boleh dipatahkan
• Langkah yang boleh dilangkau atau diulang
• Data yang sepatutnya dilindungi tetapi tidak dilindungi

Pemodelan menjadikan pemikiran dari sudut pandang penyerang sesuatu yang sistematik dan bukannya berlaku secara kebetulan.

Tiga istilah menjadi asas setiap model ancaman. Bezakan ketiga-tiganya:

• Aset — sesuatu yang bernilai dan patut dilindungi (data pelanggan, kelayakan, ketersediaan)
• Ancaman — peristiwa buruk atau pelaku yang berpotensi (penyerang yang mencuri data)
• Kerentanan — kelemahan yang membolehkan ancaman berjaya (semakan akses yang tiada)

Risiko timbul apabila ancaman boleh mengeksploitasi kerentanan terhadap aset yang bernilai.

Anda tidak boleh melindungi perkara yang belum dikenal pasti. Mulakan setiap model ancaman dengan menyenaraikan perkara yang penting.

Kategori aset yang biasa:

Pemodelan ancaman paling bernilai pada masa-masa tertentu, bukannya sebagai aktiviti sekali sahaja:

• Semasa mereka bentuk sistem atau ciri baharu
• Semasa membuat perubahan seni bina yang ketara
• Semasa menambah sempadan kepercayaan baharu (integrasi baharu atau antara muka pengaturcaraan aplikasi luaran)
• Selepas insiden keselamatan untuk mencari jurang yang berkaitan

Pasukan yang matang menganggapnya sebagai aktiviti yang sentiasa berkembang dan menyemak semula model apabila sistem berubah.

Pemodelan ancaman ialah aktiviti berpasukan. Model yang dibina oleh seorang sahaja akan terlepas terlalu banyak konteks.

Sesi yang berkesan merangkumi:

• Pembangun yang mengetahui cara sistem sebenarnya berfungsi
• Arkitek yang memahami tujuan reka bentuk
• Jurutera keselamatan yang mengetahui corak serangan
• Pemilik produk yang memahami kesan terhadap perniagaan

Gabungan perspektif inilah yang menonjolkan ancaman yang mungkin tidak dapat dilihat oleh satu-satu peranan.

Beberapa metodologi berstruktur tersedia; anda boleh menggabungkannya mengikut keperluan:

• STRIDE — mengkategorikan ancaman mengikut jenis; sangat sesuai untuk reka bentuk teknikal (dibincangkan dalam pelajaran seterusnya)
• PASTA — berpusatkan risiko dan mengaitkan ancaman dengan kesan terhadap perniagaan
• Pokok serangan — memodelkan matlamat dan laluan penyerang
• DREAD — model pemarkahan untuk mengutamakan risiko

STRIDE ialah titik permulaan yang paling banyak diajar kerana bersifat sistematik dan mudah didekati.

Model ancaman hanya berguna jika menghasilkan keputusan yang boleh diambil tindakan. Hasil serahan biasanya merangkumi:

• Satu gambar rajah sistem dan sempadan kepercayaannya
• Satu senarai ancaman yang dikenal pasti, mengikut kategori
• Satu penarafan risiko bagi setiap ancaman
• Langkah pengurangan atau keputusan untuk menerima risiko
• Item tindakan yang diberikan kepada pemilik

Model ancaman yang berakhir sebagai dokumen yang tidak diambil tindakan oleh sesiapa telah gagal.

Usaha pemodelan ancaman sering gagal dengan cara yang boleh dijangka. Elakkan perangkap ini:

• Cuba memodelkan semuanya sekali gus — cuba memodelkan seluruh sistem pada satu masa; kecilkan skop sebaliknya
• Kelumpuhan analisis — perbincangan tanpa penghujung tanpa sebarang keputusan
• Menganggapnya sebagai sekadar pematuhan senarai semak — menghasilkan dokumen untuk memuaskan juruaudit tetapi tidak pernah mengambil tindakan terhadapnya
• Tiada susulan — mengenal pasti ancaman tetapi tidak pernah menjejaki langkah pengurangan

Pastikan skopnya terhad, tempohnya ditetapkan, dan ia berkait dengan item tindakan sebenar.

Jika anda tidak pernah melakukan pemodelan ancaman, mulakan secara kecil-kecilan dengan resipi ringan ini:

• Lukis gambar rajah ringkas sistem dan aliran data anda
• Tandakan tempat data merentasi sempadan kepercayaan
• Bagi setiap sempadan, tanyakan perkara yang boleh dilakukan oleh penyerang
• Catat ancaman utama dan satu langkah pengurangan bagi setiap ancaman
• Tetapkan pemilik dan semak semula kemudian

Malah sesi selama 30 minit menggunakan papan putih dapat mengesan isu yang sebaliknya mungkin sampai ke persekitaran produksi.

Anda telah mempelajari sebab pemodelan ancaman penting:

• Pemodelan ancaman menjawab secara berstruktur perkara yang boleh berlaku sebelum penyerang mengetahuinya
• Ia mengalihkan keselamatan ke peringkat awal, menjadikan pembaikan jauh lebih murah
• Bezakan antara aset, ancaman, dan kerentanan; risiko wujud pada titik persilangan ketiga-tiganya
• Lakukan pemodelan pada masa reka bentuk dan ketika perubahan besar dibuat, bersama pasukan rentas fungsi
• Elakkan perangkap seperti cuba memodelkan semuanya sekali gus dan tiada susulan; sentiasa hasilkan hasil yang boleh diambil tindakan

Seterusnya, anda akan mempelajari rangka kerja STRIDE untuk mengkategorikan ancaman.