Praktische threat modeling

Hoewel methodologieën verschillen, volgen de meeste processen voor dreigingsmodellering deze belangrijke stappen:

1. Reikwijdte bepalen: Welk systeem of welke functie analyseren we?
2. De toepassing ontleden: Begrijp hoe het systeem werkt (componenten, gegevensstromen en vertrouwensgrenzen).
3. Dreigingen identificeren: Bedenk mogelijke aanvallen op het systeem.
4. Kwetsbaarheden identificeren: Breng zwakke plekken in kaart waardoor dreigingen kunnen slagen.
5. Risico beperken: Ontwerp en implementeer maatregelen om het risico te verlagen.
6. Verifiëren: Zorg dat de maatregelen effectief zijn.

STRIDE is een veelgebruikte geheugensteun die is ontwikkeld door Microsoft. Hiermee kun je dreigingen tegen een systeem indelen op basis van verschillende typen beveiligingseigenschappen.

Elke letter in STRIDE staat voor een specifieke dreigingscategorie:

• S zich voordoen als iemand anders
• T manipulatie
• R ontkenning
• I openbaarmaking van informatie
• D denial-of-service
• E verhoging van bevoegdheden

Laten we ze een voor een bekijken.

• Je voordoen als iemand anders (S): Bij deze dreiging doet een aanvaller alsof die iemand of iets anders is. Denk aan identiteitsdiefstal of het vervalsen van een bron-IP-adres. Dit vormt een aanval op authenticatie.
• Manipulatie (T): Dit verwijst naar het ongeautoriseerd wijzigen van gegevens. Een aanvaller wijzigt gegevens tijdens de overdracht of in rust om een schadelijk doel te bereiken. Dit vormt een aanval op integriteit.

Deze twee dreigingen gaan vaak hand in hand: het aannemen van een valse identiteit kan bijvoorbeeld leiden tot het manipuleren van gegevens.

• Ontkenning (R): Dit gebeurt wanneer een gebruiker ontkent een handeling te hebben uitgevoerd en er geen manier is om het tegendeel te bewijzen. Denk bijvoorbeeld aan het ontkennen van een transactie. Dit vormt een aanval op onweerlegbaarheid en vereist een goede logboekregistratie.
• Openbaarmaking van informatie (I): Dit is het ongeautoriseerd blootstellen van gevoelige gegevens. Het kan om van alles gaan, van gebruikerswachtwoorden tot vertrouwelijke bedrijfslogica. Dit vormt een aanval op vertrouwelijkheid.

Een goede logboekregistratie en toegangscontroles zijn essentieel om deze dreigingen aan te pakken.

• Denial-of-service (D): Een aanvaller maakt een systeem of service onbeschikbaar voor legitieme gebruikers. Dit kan bijvoorbeeld door een server met verzoeken te overspoelen of een toepassing te laten crashen. Dit vormt een aanval op beschikbaarheid.
• Verhoging van bevoegdheden (E): Een aanvaller krijgt meer toegangsrechten dan toegestaan, bijvoorbeeld wanneer een gewone gebruiker beheerder wordt. Dit vormt een aanval op autorisatie.

Deze dreigingen kunnen grote gevolgen hebben voor de bedrijfsvoering, van omzetverlies tot een volledige overname van het systeem.

Om STRIDE effectief toe te passen, moet je eerst je systeem begrijpen. Gegevensstroomdiagrammen (DFD's) zijn hiervoor uitstekend geschikt.

Met DFD's kun je het volgende visualiseren:

• Processen: Waar gegevens worden getransformeerd.
• Gegevensopslagplaatsen: Waar gegevens zich bevinden (databases en bestanden).
• Externe entiteiten: Gebruikers en andere systemen die met jouw systeem communiceren.
• Gegevensstromen: Hoe gegevens zich tussen componenten verplaatsen.

Door dit in kaart te brengen, kun je 'vertrouwensgrenzen' en aanvalsoppervlakken identificeren.

Zodra bedreigingen zijn geïdentificeerd (bijvoorbeeld met STRIDE), moet je ze prioriteren. De DREAD-methodologie helpt je de ernst van een bedreiging te beoordelen aan de hand van vijf factoren:

• Damage: Hoe ernstig zou een aanval zijn?
• Reproducibility: Hoe eenvoudig is het om de aanval te reproduceren?
• Exploitability: Hoe eenvoudig is het om de aanval uit te voeren?
• Affected Users: Op hoeveel gebruikers zou de aanval impact hebben?
• Discoverability: Hoe eenvoudig is het om de kwetsbaarheid te vinden?

Elke factor krijgt doorgaans een score op een schaal (bijvoorbeeld 1-10 of Laag/Gemiddeld/Hoog). De scores worden gecombineerd tot een algemene risicobeoordeling.

Neem deze potentiële bedreiging: Een niet-geauthenticeerde gebruiker kan de profielgegevens van een andere gebruiker bekijken.

Met DREAD zouden we dit als volgt kunnen beoordelen:

• Damage: Hoog (gevoelige gegevens worden openbaar).
• Reproducibility: Hoog (eenvoudig te reproduceren).
• Exploitability: Gemiddeld (enige vaardigheid is vereist, maar de aanpak is algemeen bekend).
• Affected Users: Hoog (de gegevens van alle gebruikers lopen risico).
• Discoverability: Gemiddeld (de kwetsbaarheid kan tijdens tests of toevallig worden gevonden).

Een hoge algemene DREAD-score wijst op een kritieke bedreiging die onmiddellijk aandacht vereist.

We hebben de wereld van Threat Modeling verkend, een cruciale proactieve beveiligingspraktijk.

• Het helpt om kwetsbaarheden vroeg in het ontwikkelproces te identificeren en te beperken.
• De STRIDE-methodologie (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) biedt een raamwerk om bedreigingen te categoriseren.
• Data Flow Diagrams (DFDs) zijn waardevolle hulpmiddelen om systeemonderdelen en gegevensstromen zichtbaar te maken.
• De DREAD-methodologie (Damage, Reproducibility, Exploitability, Affected Users, Discoverability) helpt geïdentificeerde bedreigingen te prioriteren op basis van hun mogelijke impact en waarschijnlijkheid.

Door deze methodologieën toe te passen, kun je vanaf de basis veiligere systemen bouwen.