Методика STRIDE

STRIDE — фреймворк для классификации угроз, разработанный в Microsoft. Он предлагает шесть категорий угроз, чтобы вы могли системно задавать вопрос «что может пойти не так?» для каждого компонента системы.

STRIDE — это мнемоника для шести типов угроз:

• S — подмена личности
• T — изменение данных
• R — отрицание действий
• I — разглашение информации
• D — отказ в обслуживании
• E — повышение привилегий

Каждая категория STRIDE представляет собой нарушение желательного свойства безопасности. Такое соответствие помогает запомнить, какое свойство безопасности нарушает каждая угроза:

Подмена личности — это выдача себя за того, кем вы не являетесь, или за то, чем вы не являетесь. Она нарушает аутентификацию.

Примеры:

• Вход в систему с украденными учётными данными
• Подделка адреса отправителя в электронном письме
• Создание поддельной страницы входа для сбора паролей
• Выдача себя за доверенный сервер

Типичные меры защиты: надёжная аутентификация, многофакторная аутентификация, взаимная аутентификация по TLS и цифровые подписи.

Изменение данных — это несанкционированная модификация данных или кода. Оно нарушает целостность.

Примеры:

• Изменение поля цены в запросе HTTP перед его отправкой
• Изменение записи базы данных без разрешения
• Внедрение вредоносного кода в обновление программного обеспечения
• Изменение файла журнала, чтобы скрыть активность

Меры защиты: проверка входных данных, проверки целостности (хеши/HMAC), подпись кода и контроль доступа.

Отрицание действий — это ситуация, когда пользователь отрицает выполнение действия, а система не может доказать обратное. Это нарушает неотказуемость.

Пример: пользователь совершает мошенническую операцию, затем заявляет, что не совершал её, а журналов, подтверждающих обратное, нет.

Меры защиты:

• Полное, защищённое от изменений журналирование аудита
• Цифровые подписи для критически важных действий
• Защищённые метки времени и пересылка журналов в хранилище с однократной записью

Разглашение информации — это раскрытие данных людям, которые не должны их видеть. Оно нарушает конфиденциальность.

Примеры:

• Утечка записей клиентов из незашифрованной базы данных
• Подробные сообщения об ошибках, раскрывающие трассировки стека или запросы
• Неправильно настроенное облачное хранилище, доступное всем
• Передача конфиденциальных данных по незашифрованному HTTP

Меры защиты: шифрование данных при передаче и хранении, доступ с минимальными привилегиями и аккуратная обработка ошибок.

Отказ в обслуживании (DoS) — это лишение легитимных пользователей доступа к системе. Он нарушает доступность.

Примеры:

• Перегрузка сервера трафиком (распределённая атака типа «отказ в обслуживании»)
• Один ресурсоёмкий запрос, исчерпывающий ресурсы базы данных
• Заполнение дискового пространства загружаемыми файлами
• Запуск бесконечного цикла или утечки ресурсов

Меры защиты: ограничение частоты запросов, квоты, ограничения размера входных данных, автоматическое масштабирование и защита от распределённых атак типа «отказ в обслуживании» на уровне вышестоящей инфраструктуры.

Повышение привилегий — это получение возможностей, превышающих разрешённые вам полномочия. Оно нарушает авторизацию.

Примеры:

• Обычный пользователь получает доступ к административному адресу
• Использование ошибки для выполнения кода с правами суперпользователя
• Изменение собственной роли с помощью подменённого параметра
• Выход из контейнера для доступа к основной системе

Меры защиты: проверка прав доступа для каждого запроса, принцип минимальных привилегий и изоляция в песочнице.

Сила STRIDE заключается в методичном применении. Для каждого элемента на диаграмме проекта пройдите по всем шести категориям и спросите, применима ли соответствующая угроза.

Применять STRIDE можно двумя способами:

• STRIDE для элементов — анализировать каждый компонент (процесс, хранилище данных, внешняя сущность) на наличие соответствующих типов угроз
• STRIDE для взаимодействий — анализировать каждый поток данных между элементами

Не каждая угроза применима к каждому элементу. Например, хранилища данных редко являются объектом подмены личности, но часто становятся главными целями для изменения данных и разглашения информации. Используйте подходящее подмножество категорий для каждого элемента.

STRIDE естественным образом сочетается со стратегией защиты. Для каждой выявленной угрозы выберите один из четырёх вариантов действий:

• Снизить — добавить механизм защиты, уменьшающий риск
• Устранить — удалить вызывающую риск функцию или компонент
• Передать — переложить риск (на страхование или стороннюю организацию)
• Принять — сознательно допустить низкий риск

Зафиксируйте решение для каждой угрозы, чтобы ни одна из них не осталась без внимания.

Проверьте свои знания категорий STRIDE.

Вы изучили фреймворк STRIDE:

• S — подмена личности (аутентификация), T — изменение данных (целостность), R — отрицание действий (неотказуемость)
• I — разглашение информации (конфиденциальность), D — отказ в обслуживании (доступность), E — повышение привилегий (авторизация)
• Каждая категория нарушает определённое свойство безопасности
• Применяйте STRIDE методично — к каждому элементу или взаимодействию
• Для каждой угрозы решайте, следует ли её снизить, устранить, передать или принять

Далее вы сопоставите потоки данных и границы доверия, чтобы определить, где применять STRIDE.