Modelowanie zagrożeń za pomocą STRIDE i PASTA

Modelowanie zagrożeń to ustrukturyzowany proces identyfikowania, ustalania priorytetów i rozwiązywania zagrożeń bezpieczeństwa systemu przed rozpoczęciem prac programistycznych lub w trakcie przeglądu projektu. Odpowiada na pytania: Co tworzymy? Co może pójść nie tak? Jak to naprawić? Jak dobry jest rezultat?

Model zagrożeń należy tworzyć na etapie projektowania (największa wartość i najniższy koszt naprawy), podczas prac nad głównymi funkcjami, po zmianach architektury oraz okresowo dla systemów produkcyjnych. Koszt naprawy wady projektowej wykrytej podczas modelowania zagrożeń jest 60 razy niższy niż koszt naprawy wady znalezionej w środowisku produkcyjnym.

STRIDE to mnemotechniczne ramy klasyfikacji zagrożeń opracowane przez Microsoft. Każda litera oznacza kategorię zagrożeń: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Należy systematycznie stosować STRIDE do każdego komponentu architektury.

Spoofing: Czy atakujący może podszyć się pod legalnego użytkownika, usługę lub komponent? Środki zaradcze: silne uwierzytelnianie, certyfikaty. Tampering: Czy atakujący może zmodyfikować dane podczas przesyłania lub przechowywania? Środki zaradcze: podpisy cyfrowe, HMAC, kontrole integralności, TLS.

Repudiation: Czy użytkownik może zaprzeczyć wykonaniu działania? Środek zaradczy: rejestrowanie zdarzeń w dziennikach audytowych, podpisy cyfrowe. Information Disclosure: Czy wrażliwe dane mogą zostać ujawnione? Środek zaradczy: szyfrowanie, kontrola dostępu. Denial of Service: Czy dostępność może zostać zakłócona? Środek zaradczy: ograniczanie liczby żądań, nadmiarowość, walidacja danych wejściowych.

Czy atakujący może uzyskać wyższe uprawnienia, niż zamierzono? Należy zmapować wszystkie poziomy uprawnień w systemie. Sprawdź: Czy użytkownik o niskich uprawnieniach może uzyskać dostęp do funkcji administracyjnych? Czy proces użytkownika może wydostać się z piaskownicy? Każda ścieżka eskalacji wymaga zastosowania środka zaradczego w postaci kontroli dostępu.

Należy utworzyć DFD przedstawiający procesy, magazyny danych, jednostki zewnętrzne i przepływy danych, z zaznaczonymi granicami zaufania. Każdy element oraz każde przekroczenie granicy zaufania generuje zagrożenia STRIDE. DFD zapewnia systematyczną strukturę, która zapobiega pomijaniu powierzchni ataku.

Process for Attack Simulation and Threat Analysis (PASTA) to skoncentrowana na ryzyku metodologia modelowania zagrożeń obejmująca siedem etapów: zdefiniowanie celów, określenie zakresu technicznego, dekompozycję aplikacji, analizę zagrożeń, identyfikację podatności, wyliczenie ataków oraz przeprowadzenie analizy ryzyka wraz ze środkami zaradczymi.

STRIDE koncentruje się na komponentach — systematycznie generuje zagrożenia na podstawie DFD. PASTA koncentruje się na ryzyku — rozpoczyna od celów biznesowych i przechodzi do zagrożeń technicznych. STRIDE dobrze sprawdza się w zespołach programistycznych, natomiast PASTA lepiej współgra z zarządzaniem ryzykiem i komunikacją z kadrą kierowniczą.

Drzewa ataków rozkładają główny cel zagrożenia, np. „ukraść token uwierzytelniający”, na poddrzewa przedstawiające alternatywne ścieżki ataku. Każdy liść oznacza konkretny, możliwy do zrealizowania atak. Logika boolowska (AND/OR) określa, czy do powodzenia ataku muszą być spełnione wszystkie podwarunki, czy wystarczy dowolny z nich.

OWASP Threat Dragon to bezpłatne narzędzie open source do modelowania zagrożeń oparte na DFD. Microsoft Threat Modeling Tool zawiera silnik oparty na STRIDE. IriusRisk i ThreatModeler to komercyjne rozwiązania integrujące się z Jira oraz potokami CI/CD na potrzeby ciągłego modelowania zagrożeń.

Modelowanie zagrożeń za pomocą STRIDE systematycznie generuje zagrożenia na podstawie diagramów przepływu danych, natomiast PASTA stosuje podejście skoncentrowane na ryzyku, rozpoczynając od celów biznesowych. Oba podejścia tworzą uporządkowane według priorytetów listy zagrożeń, które pomagają dobierać zabezpieczenia jeszcze przed napisaniem lub wdrożeniem kodu.