Attack trees en risico's prioriteren

Een aanvalsboom gebruikt twee logische relaties tussen een knooppunt en zijn onderliggende knooppunten:

• OR-knooppunten — één onderliggend knooppunt is voldoende om het bovenliggende knooppunt te bereiken (alternatieve paden)
• AND-knooppunten — alle onderliggende knooppunten moeten samen worden bereikt (vereiste stappen)

Dit onderscheid is enorm belangrijk: bij een OR-knooppunt hoeft een aanvaller alleen het gemakkelijkste pad te volgen, terwijl een AND-knooppunt vereist dat de aanvaller elke stap doorloopt.

Hier is een tekstuele aanvalsboom voor het stelen van betalingsgegevens:

Aanvalsboomdiagrammen worden krachtig wanneer je bladknooppunten voorziet van attributen die helpen bij het stellen van prioriteiten:

• Kosten voor de aanvaller
• Moeilijkheidsgraad of vereiste vaardigheden
• Detecteerbaarheid (gaat er een alarm af?)
• Waarschijnlijkheid van succes

Vervolgens voer je deze waarden omhoog door de boom. Bij een OR-knooppunt kiest de aanvaller het goedkoopste of eenvoudigste onderliggende knooppunt, waarmee je je zwakste schakel ontdekt.

Om prioriteiten te bepalen, heb je een risicoscore nodig. De klassieke formule combineert twee factoren:

DREAD is een gestructureerde manier om dreigingen op vijf dimensies te scoren. Elke dimensie krijgt een beoordeling. Daarna worden de beoordelingen gecombineerd tot een prioriteitsscore:

• Damage — hoe groot is de impact?
• Reproducibility — hoe betrouwbaar kan de dreiging worden herhaald?
• Exploitability — hoe eenvoudig is de dreiging uit te voeren?
• Affected users — hoeveel gebruikers worden getroffen?
• Discoverability — hoe eenvoudig is de dreiging te ontdekken?

DREAD is enigszins subjectief, dus gebruik binnen je team consistente definities voor de beoordelingen.

Een risicomatrix zet de waarschijnlijkheid af tegen de impact, zodat je in één oogopslag ziet welke prioriteit iets heeft:

Zodra de dreigingen zijn gerangschikt, bepaal je hoe je elke dreiging afhandelt. De vier opties zijn dezelfde als bij het beperken van STRIDE-dreigingen:

• Beperken — voeg beveiligingsmaatregelen toe om de waarschijnlijkheid of impact te verlagen
• Elimineren — verwijder de risicovolle functie volledig
• Overdragen — draag het risico over via een verzekering of derde partij
• Accepteren — leg formeel vast dat je een laag risico aanvaardt

Besteed je beperkte budget eerst aan de onderdelen met het hoogste risico. Besteed geen onnodige middelen aan dreigingen met een laag risico.

Een risicobeperkende maatregel is alleen zinvol als de kosten ervan worden gerechtvaardigd door het risico dat ermee wordt verminderd. Een beveiligingsmaatregel die meer kost dan het bedrijfsmiddel dat hij beschermt, is een slechte investering.

Weeg voor elke kandidaatmaatregel het volgende af:

• In welke mate vermindert de beveiligingsmaatregel het risico?
• Hoeveel kost het om de maatregel te bouwen en te beheren?
• Veroorzaakt de maatregel gebruikershinder of nieuwe risico's?

Geef de voorkeur aan maatregelen die meerdere aanvalspaden tegelijk blokkeren, zoals MFA, waarmee veel vertakkingen voor accountovernames worden gesloten.

Prioritering is geen eenmalige oefening. Houd elke geïdentificeerde dreiging bij in een risicoregister met de score, gekozen aanpak, eigenaar en status.

Bekijk het register opnieuw wanneer:

• Een nieuwe dreiging of kwetsbaarheid ontstaat
• Het systeem of de bedrijfsmiddelen ervan in waarde veranderen
• Een risicobeperkende maatregel wordt geïmplementeerd (beoordeel het restrisico opnieuw)

Aanvaarde risico's moeten een vervaldatum hebben en opnieuw worden beoordeeld. Je moet ze niet eenvoudigweg accepteren en vergeten.

Je hebt geleerd dreigingen te rangschikken en risicobeperkende maatregelen te kiezen:

• Aanvalsboomdiagrammen modelleren paden naar het doel van een aanvaller, met AND-knooppunten (alles vereist) en OR-knooppunten (één is voldoende)
• Voorzie knooppunten van kosten, moeilijkheidsgraad en detecteerbaarheid om de zwakste schakel te vinden
• Geef prioriteit met Risico = waarschijnlijkheid x impact, DREAD-scores en een risicomatrix
• Kies voor beperken, elimineren, overdragen of accepteren en weeg kosten tegen baten af
• Houd alles bij in een risicoregister en bekijk het opnieuw naarmate het systeem zich ontwikkelt

Hiermee is de cursus Threat Modeling with STRIDE voltooid.