Чемпионы по безопасности и моделирование угроз

Координатор по безопасности — это разработчик или инженер, работающий в продуктовой команде и выступающий связующим звеном по вопросам безопасности. Это не полноценный специалист по безопасности, но такой сотрудник проходит дополнительное обучение и продвигает практики безопасности в своей команде.

Программа координаторов распространяет знания о безопасности по всей организации:

• 1–2 координатора в каждой продуктовой команде
• Регулярное обучение и встречи с командой безопасности
• Ответственность за проверки безопасности в своей команде
• Связь между командами разработки и безопасности
• Снижение нагрузки, создаваемой централизованными проверками безопасности

Моделирование угроз — это структурированный анализ потенциальных угроз для системы до её создания. Оно отвечает на вопросы:

• Что мы создаём?
• Что может пойти не так?
• Что мы будем с этим делать?
• Достаточно ли хорошо мы справились?

STRIDE — наиболее распространённая классификация для моделирования угроз:

• S Подмена личности — выдача себя за другого пользователя или систему
• T Несанкционированное изменение — изменение данных или кода
• R Отрицание совершения действия — отрицание факта выполнения действия
• I Раскрытие информации — раскрытие данных неавторизованным лицам
• D Отказ в обслуживании — нарушение доступности
• E Повышение привилегий — получение несанкционированных разрешений

Моделирование угроз начинается с диаграммы потоков данных, на которой показаны:

• Процессы — компоненты приложения
• Хранилища данных — базы данных, файлы, кэши
• Внешние сущности — пользователи, программные интерфейсы сторонних поставщиков
• Потоки данных — перемещение данных между компонентами
• Границы доверия — места изменения привилегий

Примените каждую категорию STRIDE к каждому элементу:

• При каждом пересечении границы доверия: подмена, изменение данных
• В каждом хранилище данных: изменение данных, раскрытие информации
• Для каждого процесса применимы все категории STRIDE
• Для каждого потока данных: изменение данных, раскрытие информации

PASTA — ориентированная на риски методология моделирования угроз, состоящая из семи этапов:

1. Определите бизнес-цели
2. Определите технические границы
3. Выполните декомпозицию приложения
4. Проведите анализ угроз
5. Проведите анализ уязвимостей и слабых мест
6. Выполните моделирование атак
7. Проведите анализ рисков и последствий

Проводите моделирование угроз:

• При проектировании новых функций или систем
• При существенном изменении архитектуры
• После инцидента безопасности (обновите модель)
• Ежегодно для критически важных систем

Раннее моделирование угроз предотвращает дорогостоящую переделку — до написания кода изменения архитектуры обходятся дешевле.

Инструменты для моделирования угроз:

• OWASP Threat Dragon — бесплатный веб-редактор DFD
• Microsoft Threat Modeling Tool — ориентирован на STRIDE, работает в Windows
• IriusRisk — корпоративное решение с интеграцией с Jira
• draw.io — простой инструмент для создания DFD вручную

Ответственные за безопасность делают моделирование угроз доступным:

• Формулируйте угрозы как пользовательские истории: "Как атакующий, я могу..."
• Связывайте угрозы с OWASP Top 10, чтобы использовать знакомую классификацию
• Создавайте задачи с требованиями безопасности в том же списке задач
• Измеряйте долг безопасности наряду с техническим долгом

Результаты моделирования угроз:

• Реестр угроз со всеми выявленными угрозами
• Оценка риска для каждой угрозы (вероятность × последствия)
• Меры по снижению риска для каждой угрозы
• Требования безопасности для списка задач
• Документированная DFD, сохранённая вместе с проектной документацией

Ответственные за безопасность внедряют знания о безопасности в команды разработки продукта, помогая масштабировать безопасность без узких мест. Моделирование угроз (STRIDE, PASTA) выявляет угрозы до написания кода с помощью диаграмм потоков данных. Категории STRIDE: подмена, изменение данных, отрицание авторства, раскрытие информации, отказ в обслуживании, повышение привилегий. Результат: реестр угроз с оценками рисков и задачами по безопасности в списке задач.