Angrepstrær og risikoprioritering

Angrepstrær bruker to logiske forhold mellom en node og barna dens:

• OR-noder — ett hvilket som helst barn er nok til å oppnå foreldrenoden (alternative baner)
• AND-noder — alle barna må oppnås sammen (nødvendige trinn)

Dette skillet er svært viktig: En OR-node betyr at en angriper bare trenger den enkleste banen, mens en AND-node tvinger angriperen til å komme seg gjennom alle trinnene.

Her er et tekstbasert angrepstre for å stjele betalingsdata:

Angrepstrær blir kraftfulle når De merker bladnodene med attributter som gjør det lettere å prioritere:

• Kostnad for angriperen
• Vanskelighetsgrad eller nødvendig kompetanse
• Oppdagbarhet (utløser det en alarm?)
• Sannsynlighet for å lykkes

Deretter fører De disse verdiene oppover i treet. I en OR-node velger angriperen det billigste eller enkleste barnet, noe som avdekker det svakeste leddet.

For å prioritere trenger De en risikoscore. Den klassiske formelen kombinerer to faktorer:

DREAD er en strukturert måte å gi trusler poeng på langs fem dimensjoner. Hver dimensjon vurderes, og poengene kombineres deretter til en prioritetspoengsum:

• Damage — skadeomfanget – hvor alvorlig er konsekvensen?
• Reproducibility — reproduserbarhet – hvor pålitelig kan det gjentas?
• Exploitability — utnyttbarhet – hvor enkelt er det å gjennomføre?
• Affected users — berørte brukere – hvor mange berøres?
• Discoverability — oppdagbarhet – hvor enkelt er det å oppdage?

DREAD er delvis subjektiv, så bruk konsekvente vurderingsdefinisjoner i hele teamet.

En risikomatrise setter sannsynlighet opp mot konsekvens for å gi et oversiktlig bilde av prioriteringene:

Når truslene er rangert, må De bestemme hvordan hver av dem skal håndteres. De fire alternativene er de samme som ved STRIDE-tiltak:

• Redusere — legg til kontroller for å redusere sannsynlighet eller konsekvens
• Eliminere — fjern den risikofylte funksjonen helt
• Overføre — overfør ansvaret via forsikring eller en tredjepart
• Akseptere — dokumenter formelt at en lav risiko tolereres

Bruk det begrensede budsjettet på de mest risikofylte punktene først; ikke overdimensjoner tiltak for trusler med lav risiko.

Et tiltak er bare fornuftig hvis kostnaden forsvares av risikoen det reduserer. En kontroll som koster mer enn verdien til ressursen den beskytter, er en dårlig investering.

For hver aktuell kontroll bør De vurdere:

• Hvor mye reduserer kontrollen risikoen?
• Hvor mye koster det å utvikle og drifte den?
• Fører den til friksjon eller nye risikoer?

Foretrekk kontroller som blokkerer flere angrepsbaner samtidig, for eksempel MFA, som stenger mange grener for kontoovertakelse.

Prioritering er ikke en engangsøvelse. Registrer hver identifiserte trussel i et risikoregister sammen med skåren, valgt respons, ansvarlig og status.

Gå gjennom registeret på nytt når:

• En ny trussel eller sårbarhet oppstår
• Systemet eller verdien til ressursene endres
• Et tiltak er implementert (beregn restrisikoen på nytt)

Aksepterte risikoer bør ha en utløpsdato og vurderes på nytt, ikke bare aksepteres og glemmes.

De lærte å rangere trusler og velge tiltak:

• Angrepstrær modellerer baner til en angripers mål ved hjelp av AND-noder (alle er nødvendige) og OR-noder (én er tilstrekkelig)
• Merk noder med kostnad, vanskelighetsgrad og oppdagbarhet for å finne det svakeste leddet
• Prioriter med Risiko = sannsynlighet x konsekvens, DREAD-poeng og en risikomatrise
• Velg å redusere, eliminere, overføre eller akseptere, og vurder kostnad opp mot nytte
• Følg opp alt i et risikoregister, og gå gjennom det på nytt etter hvert som systemet utvikler seg

Dette fullfører kurset Threat Modeling with STRIDE.