Model STRIDE

STRIDE to platforma kategoryzowania zagrożeń opracowana przez firmę Microsoft. Udostępnia sześć kategorii zagrożeń, dzięki czemu można systematycznie pytać: „co może pójść nie tak?” w odniesieniu do każdego komponentu systemu.

STRIDE to mnemotechniczny skrót nazw sześciu rodzajów zagrożeń:

• Spoofing (podszywanie się)
• Tampering (modyfikowanie)
• Repudiation (wyparcie się)
• Information disclosure (ujawnienie informacji)
• Denial of service (odmowa usługi)
• Elevation of privilege (eskalacja uprawnień)

Każda kategoria STRIDE oznacza naruszenie pożądanej właściwości bezpieczeństwa. To zestawienie pomaga zapamiętać, przed czym chroni każda kategoria:

Podszywanie się (spoofing) polega na udawaniu kogoś lub czegoś, czym nie są Państwo. Narusza uwierzytelnianie.

Przykłady:

• Logowanie przy użyciu skradzionych danych uwierzytelniających
• Fałszowanie adresu „From” wiadomości e-mail
• Utworzenie fałszywej strony logowania w celu wyłudzenia haseł
• Podszywanie się pod zaufany serwer

Typowe środki zaradcze to silne uwierzytelnianie, uwierzytelnianie wieloskładnikowe, wzajemne TLS oraz podpisy cyfrowe.

Modyfikowanie (tampering) polega na nieuprawnionej zmianie danych lub kodu. Narusza integralność.

Przykłady:

• Zmiana pola ceny w żądaniu HTTP przed jego wysłaniem
• Modyfikowanie rekordu w bazie danych bez uprawnień
• Wstrzyknięcie złośliwego kodu do aktualizacji oprogramowania
• Zmiana pliku dziennika w celu ukrycia aktywności

Środki zaradcze obejmują walidację danych wejściowych, kontrole integralności (skróty/HMAC), podpisywanie kodu oraz kontrolę dostępu.

Wyparcie się (repudiation) ma miejsce, gdy użytkownik zaprzecza wykonaniu określonej czynności, a system nie jest w stanie tego udowodnić. Narusza niezaprzeczalność.

Przykład: użytkownik wykonuje oszukańczą transakcję, następnie twierdzi, że nigdy tego nie zrobił, a w systemie nie ma logów, które mogłyby to udowodnić.

Środki zaradcze:

• Kompletne i odporne na modyfikacje logowanie audytowe
• Podpisy cyfrowe dla działań o kluczowym znaczeniu
• Bezpieczne znaczniki czasu i przekazywanie logów do magazynu jednokrotnego zapisu

Ujawnienie informacji (information disclosure) polega na udostępnieniu danych osobom, które nie powinny ich widzieć. Narusza poufność.

Przykłady:

• Nieszyfrowana baza danych ujawniająca rekordy klientów
• Rozbudowane komunikaty o błędach ujawniające ślady stosu lub zapytania
• Nieprawidłowo skonfigurowany zasobnik w chmurze dostępny publicznie
• Wysyłanie wrażliwych danych przez nieszyfrowany protokół HTTP

Środki zaradcze obejmują szyfrowanie danych podczas przesyłania i w spoczynku, dostęp zgodny z zasadą najmniejszych uprawnień oraz ostrożną obsługę błędów.

Odmowa usługi (DoS) polega na uniemożliwieniu uprawnionym użytkownikom korzystania z systemu. Narusza dostępność.

Przykłady:

• Zalewanie serwera ruchem sieciowym (DDoS)
• Pojedyncze kosztowne zapytanie wyczerpujące zasoby bazy danych
• Zapełnianie miejsca na dysku przesyłanymi plikami
• Wywołanie nieskończonej pętli lub wycieku zasobów

Środki zaradcze obejmują ograniczanie liczby żądań, limity, ograniczenia rozmiaru danych wejściowych, autoskalowanie oraz ochronę DDoS na poziomie upstream.

Eskalacja uprawnień (elevation of privilege) polega na uzyskaniu możliwości wykraczających poza przyznane uprawnienia. Narusza autoryzację.

Przykłady:

• Zwykły użytkownik uzyskujący dostęp do endpointu administratora
• Wykorzystanie błędu w celu uruchomienia kodu jako root
• Zmiana własnej roli za pomocą zmanipulowanego parametru
• Ucieczka z kontenera w celu uzyskania dostępu do hosta

Środki zaradcze obejmują egzekwowanie autoryzacji przy każdym żądaniu, zasadę najmniejszych uprawnień oraz sandboxing.

Siła STRIDE wynika z jego metodycznego stosowania. Dla każdego elementu na diagramie projektu należy przejść przez wszystkie sześć kategorii i sprawdzić, czy dane zagrożenie ma zastosowanie.

STRIDE można stosować na dwa sposoby:

• STRIDE dla elementu — analizowanie każdego komponentu (procesu, magazynu danych, encji zewnętrznej) pod kątem odpowiednich typów zagrożeń
• STRIDE dla interakcji — analizowanie każdego przepływu danych między elementami

Nie każde zagrożenie dotyczy każdego elementu. Na przykład magazyny danych rzadko się „podszywają”, ale są szczególnie narażone na modyfikowanie i ujawnienie informacji. Dla każdego elementu należy stosować odpowiedni podzbiór kategorii.

STRIDE naturalnie łączy się ze strategią ograniczania ryzyka. Dla każdego zidentyfikowanego zagrożenia należy wybrać jedną z czterech reakcji:

• Ograniczyć — dodać zabezpieczenie zmniejszające ryzyko
• Wyeliminować — usunąć funkcję lub komponent powodujący zagrożenie
• Przenieść — przenieść ryzyko (ubezpieczenie, strona trzecia)
• Zaakceptować — świadomie tolerować niskie ryzyko

Każdą decyzję dotyczącą zagrożenia należy udokumentować, aby żadne zagrożenie nie zostało pominięte bez wyjaśnienia.

Sprawdźcie Państwo swoją wiedzę na temat kategorii STRIDE.

Dowiedzieli się Państwo, na czym polega platforma STRIDE:

• Spoofing (podszywanie się — uwierzytelnianie), Tampering (modyfikowanie — integralność), Repudiation (wyparcie się — niezaprzeczalność)
• Information disclosure (ujawnienie informacji — poufność), Denial of service (odmowa usługi — dostępność), Elevation of privilege (eskalacja uprawnień — autoryzacja)
• Każda kategoria narusza określoną właściwość bezpieczeństwa
• STRIDE należy stosować metodycznie dla każdego elementu lub każdej interakcji
• Dla każdego zagrożenia należy zdecydować, czy je ograniczyć, wyeliminować, przenieść czy zaakceptować

Następnie dowiedzą się Państwo, jak odwzorowywać przepływy danych i granice zaufania, aby wiedzieć, gdzie stosować STRIDE.