Diagramy przepływu danych i granice zaufania

Nie można znaleźć zagrożeń w systemie, którego się nie rozumie. Diagram przepływu danych (DFD) stanowi podstawę modelowania zagrożeń: wizualnie odwzorowuje sposób przepływu danych przez system.

Diagram sprawia, że niejawne założenia stają się jawne. Gdy widać, dokąd trafiają dane i kto ma z nimi styczność, znacznie łatwiej dostrzec zagrożenia.

DFD wykorzystuje tylko cztery podstawowe elementy budulcowe. Należy zachować prostotę:

• Encja zewnętrzna — osoba lub system znajdujące się poza Państwa kontrolą (użytkownik, API firmy trzeciej)
• Proces — coś, co przekształca dane (usługa, funkcja)
• Magazyn danych — miejsce przechowywania danych (baza danych, plik, pamięć podręczna)
• Przepływ danych — przemieszczanie się danych między elementami (strzałka)

Niemal każdy system można przedstawić za pomocą tych czterech kształtów.

Diagramy DFD wykorzystują konwencjonalne kształty, dzięki czemu każdy może je odczytać:

Rozważmy podstawową aplikację internetową. Jej DFD w formie tekstowej może wyglądać następująco:

Granica zaufania to dowolna linia na diagramie, wzdłuż której zmienia się poziom zaufania. Po jednej stronie dane lub wywołujący są zaufani, a po drugiej — nie.

Granice zaufania są najważniejszym z punktu widzenia bezpieczeństwa elementem DFD, ponieważ wskazują miejsca, w których:

• Dane należy walidować
• Wywołujących należy uwierzytelniać i autoryzować
• Zmieniają się poziomy uprawnień

Większość podatności występuje dokładnie tam, gdzie dane przekraczają granicę zaufania.

Gdy zacznie się ich szukać, okaże się, że granice zaufania są wszędzie. Typowe przykłady:

• Internet a aplikacja (docierają niezaufane dane wejściowe użytkownika)
• Aplikacja a baza danych
• Między procesem o niskich i wysokich uprawnieniach
• Między Państwa systemem a API firmy trzeciej
• Między kontenerem a hostem
• Przez segmenty sieci (od DMZ do sieci wewnętrznej)

Każda granica wymaga dokładnego, jawnego przeanalizowania.

Granice zaufania należy dodawać jako przerywane linie przecinające przepływy danych, których dotyczą. W naszej aplikacji internetowej:

Granice zaufania łączą tę lekcję z platformą STRIDE. Przepływy danych, które przekraczają granicę, to miejsca, na których należy skupić analizę STRIDE.

Na granicy między internetem a aplikacją należy zadać pytania:

• Podszywanie się — czy wywołujący jest uwierzytelniony?
• Modyfikowanie — czy dane wejściowe podlegają walidacji?
• Ujawnienie informacji — czy kanał jest szyfrowany?
• Odmowa usługi — czy stosowane jest ograniczanie liczby żądań?

Granice przekładają abstrakcyjną platformę na konkretne pytania.

DFD może być zbyt ogólny lub zbyt szczegółowy. Oba podejścia zawodzą.

• Zbyt wysoki poziom — jedno pole oznaczone jako „system” ukrywa wszystkie istotne granice
• Zbyt szczegółowy poziom — uwzględnienie każdej funkcji i zmiennej zasypuje Państwa niepotrzebnymi szczegółami

Należy wybrać poziom, na którym widoczny jest każdy główny komponent i granica zaufania. Warto stosować warstwowe DFD: diagram kontekstowy przedstawiający cały system, a następnie osobne, bardziej szczegółowe diagramy złożonych procesów.

DFD narysowany przez jedną osobę zwykle zawiera błędne założenia. Należy omówić go z osobami, które zbudowały system.

Warto zadać dociekliwe pytania:

• Czy to naprawdę jedyny sposób, w jaki dane trafiają do bazy danych?
• Czy istnieją ścieżki administracyjne lub wsadowe, których tutaj nie pokazano?
• Czy coś omija ten etap uwierzytelniania?
• Czy gdzieś indziej istnieją kopie tych danych zapisane w pamięci podręcznej?

Ukryte przepływy danych często powodują przeoczenie podatności.

Systemy się zmieniają, a nieaktualny DFD zaczyna wprowadzać w błąd. Nieaktualny diagram jest gorszy niż jego brak, ponieważ daje fałszywe poczucie bezpieczeństwa.

DFD należy zaktualizować, gdy:

• dodano nową integrację lub zależność zewnętrzną
• pojawił się nowy magazyn danych
• zmienił się model zaufania (usługa została przeniesiona do nowej strefy sieciowej)

DFD należy traktować jako dokumentację rozwijaną wraz z systemem, a nie jednorazowy artefakt.

Proszę sprawdzić swoją znajomość DFD i granic zaufania.

W tej lekcji nauczyli się Państwo mapować systemy na potrzeby modelowania zagrożeń:

• DFD wykorzystuje cztery elementy: encje zewnętrzne, procesy, magazyny danych i przepływy danych
• Granice zaufania wskazują miejsca zmiany poziomu zaufania oraz obszary, w których występuje większość podatności
• Przepływy danych przekraczające granicę to obszary, na których należy skupić analizę STRIDE
• Należy dobrać odpowiedni poziom szczegółowości i używać diagramów warstwowych
• Należy zweryfikować DFD z zespołem i dbać o jego aktualność

W następnej części poznają Państwo sposób oceniania zagrożeń za pomocą drzew ataku oraz ustalania priorytetów zabezpieczeń.