Security Champions i modelowanie zagrożeń

Security Champion to deweloper lub inżynier pracujący w zespole produktowym, który pełni funkcję łącznika ds. bezpieczeństwa. Nie jest on pełnoprawnym specjalistą ds. bezpieczeństwa, ale ma dodatkowe przeszkolenie w tym zakresie i promuje praktyki bezpieczeństwa w swoim zespole.

Program Security Championów pozwala szerzyć wiedzę o bezpieczeństwie w całej organizacji:

• 1–2 osoby pełniące rolę Security Champion w każdym zespole produktowym
• Regularne szkolenia i spotkania z zespołem ds. bezpieczeństwa
• Odpowiedzialność za przeglądy bezpieczeństwa w swoim zespole
• Łączenie komunikacji między zespołami programistycznymi i zespołami ds. bezpieczeństwa
• Ograniczenie wąskiego gardła powodowanego przez scentralizowane przeglądy bezpieczeństwa

Modelowanie zagrożeń to ustrukturyzowana analiza potencjalnych zagrożeń dla systemu przeprowadzana przed jego zbudowaniem. Odpowiada na pytania:

• Co budujemy?
• Co może pójść nie tak?
• Co zamierzamy z tym zrobić?
• Czy wykonaliśmy wystarczająco dobrą pracę?

STRIDE to najczęściej stosowana taksonomia modelowania zagrożeń:

• Spoofing — podszywanie się pod innego użytkownika lub system
• Tampering — modyfikowanie danych lub kodu
• Repudiation — zaprzeczanie wykonaniu działania
• Information disclosure — ujawnianie danych nieuprawnionym osobom
• Denial of service — zakłócanie dostępności
• Elevation of privilege — uzyskiwanie nieautoryzowanych uprawnień

Modelowanie zagrożeń rozpoczyna się od diagramu przepływu danych, który przedstawia:

• Procesy — komponenty aplikacji
• Magazyny danych — bazy danych, pliki, pamięci podręczne
• Jednostki zewnętrzne — użytkownicy, interfejsy API firm trzecich
• Przepływy danych — sposób przemieszczania się danych między komponentami
• Granice zaufania — miejsca zmiany poziomu uprawnień

Każdą kategorię STRIDE należy zastosować do każdego elementu:

• Przy każdym przekroczeniu granicy zaufania: podszywanie się, modyfikowanie danych
• W każdym magazynie danych: modyfikowanie danych, ujawnienie informacji
• W każdym procesie mają zastosowanie wszystkie kategorie STRIDE
• Dla każdego przepływu danych: modyfikowanie danych, ujawnienie informacji

PASTA to ukierunkowana na ryzyko, siedmioetapowa metodyka modelowania zagrożeń:

1. Zdefiniowanie celów biznesowych
2. Zdefiniowanie zakresu technicznego
3. Dekompozycja aplikacji
4. Analiza zagrożeń
5. Analiza podatności i słabości
6. Modelowanie ataku
7. Analiza ryzyka i wpływu

Modelowanie zagrożeń należy przeprowadzać:

• Podczas projektowania nowych funkcji lub systemów
• Gdy architektura ulega znaczącym zmianom
• Po incydencie bezpieczeństwa (należy zaktualizować model)
• Co roku w przypadku systemów krytycznych

Wczesne modelowanie zagrożeń zapobiega kosztownemu przerabianiu — zmiany architektury są tanie, zanim zostanie napisany kod.

Narzędzia do modelowania zagrożeń:

• OWASP Threat Dragon — bezpłatny, internetowy edytor DFD
• Microsoft Threat Modeling Tool — skoncentrowane na STRIDE, działające w systemie Windows
• IriusRisk — rozwiązanie dla przedsiębiorstw, integrujące się z Jira
• draw.io — proste, ręcznie tworzone diagramy DFD

Ambasadorzy bezpieczeństwa ułatwiają zespołom dostęp do modelowania zagrożeń:

• Przedstawiać zagrożenia jako historyjki użytkownika: "Jako atakujący mogę..."
• Powiązać zagrożenia z OWASP Top 10, aby ułatwić ich zrozumienie
• Tworzyć zadania dotyczące wymagań bezpieczeństwa w tym samym backlogu
• Mierzyć dług bezpieczeństwa równolegle z długiem technicznym

Rezultaty modelowania zagrożeń:

• Rejestr zagrożeń zawierający wszystkie zidentyfikowane zagrożenia
• Ocena ryzyka dla każdego zagrożenia (prawdopodobieństwo × wpływ)
• Środki zaradcze dla każdego zagrożenia
• Wymagania bezpieczeństwa do backlogu
• Udokumentowany DFD przechowywany wraz z dokumentacją projektową

Ambasadorzy bezpieczeństwa osadzają wiedzę na temat bezpieczeństwa w zespołach produktowych, zwiększając skalę działań bez wąskich gardeł. Modelowanie zagrożeń (STRIDE, PASTA) identyfikuje zagrożenia przed napisaniem kodu za pomocą diagramów przepływu danych. Kategorie STRIDE: podszywanie się, modyfikowanie danych, zaprzeczanie, ujawnienie informacji, DoS, eskalacja uprawnień. Rezultat: rejestr zagrożeń z ocenami ryzyka oraz zadania dotyczące bezpieczeństwa w backlogu.