Моделирование угроз с STRIDE и PASTA

Моделирование угроз — это структурированный процесс выявления, расстановки приоритетов и устранения угроз безопасности системы до начала разработки или во время проверки проектных решений. Оно отвечает на вопросы: что мы создаём? Что может пойти не так? Как это исправить? Насколько хорош результат?

Проводите моделирование угроз на этапе проектирования (это даёт наибольшую ценность и позволяет дешевле всего исправить проблемы), во время разработки крупных функций, после архитектурных изменений и периодически для рабочих систем. Стоимость исправления недостатка проектирования, обнаруженного при моделировании угроз, в 60 раз ниже, чем при обнаружении его в рабочей системе.

STRIDE — это мнемоническая система классификации угроз, разработанная в Майкрософт. Каждая буква обозначает категорию угрозы: подмена личности, изменение данных, отрицание совершения действий, разглашение информации, отказ в обслуживании и повышение привилегий. Систематически применяйте STRIDE к каждому компоненту архитектуры.

Подмена личности: может ли злоумышленник выдать себя за легитимного пользователя, службу или компонент? Меры защиты: надёжная аутентификация, сертификаты. Изменение данных: может ли злоумышленник изменить данные при передаче или хранении? Меры защиты: цифровые подписи, коды аутентификации сообщений на основе хеширования (HMAC), проверки целостности, TLS.

Отрицание совершения действий: может ли пользователь отрицать выполнение действия? Мера защиты: журналирование аудита, цифровые подписи. Разглашение информации: могут ли быть раскрыты конфиденциальные данные? Меры защиты: шифрование, управление доступом. Отказ в обслуживании: может ли быть нарушена доступность? Меры защиты: ограничение частоты запросов, резервирование, проверка входных данных.

Может ли злоумышленник получить более высокие привилегии, чем предусмотрено? Составьте карту всех уровней привилегий в системе. Проверьте: может ли пользователь с низкими привилегиями получить доступ к функциям администратора? Может ли процесс пользователя выйти из своей изолированной среды? Для каждого пути повышения привилегий требуется мера защиты в виде управления доступом.

Создайте DFD, на которой показаны процессы, хранилища данных, внешние сущности и потоки данных с обозначенными границами доверия. Каждый элемент и каждое пересечение границы доверия порождают угрозы STRIDE. DFD обеспечивают систематическую структуру, предотвращающую пропуск поверхностей атак.

Процесс моделирования атак и анализа угроз (PASTA) — это ориентированная на риск методология моделирования угроз, состоящая из семи этапов: определить цели, определить техническую область охвата, декомпозировать приложение, проанализировать угрозы, выявить уязвимости, перечислить атаки и провести анализ рисков с определением контрмер.

STRIDE ориентирована на компоненты и систематически выявляет угрозы по DFD. PASTA ориентирована на риск: она начинает с бизнес-целей и переходит к техническим угрозам. STRIDE хорошо подходит командам разработки, а PASTA лучше согласуется с управлением рисками и коммуникацией с руководством.

Деревья атак разлагают корневую цель угрозы (например, «украсть токен аутентификации») на поддеревья с альтернативными путями атаки. Каждый лист представляет собой конкретную атаку. Булева логика (AND/OR) показывает, должны ли для успешной атаки выполняться все подусловия или достаточно любого из них.

«Дракон угроз» OWASP — бесплатный инструмент моделирования угроз на основе DFD с открытым исходным кодом. Инструмент Майкрософт для моделирования угроз включает механизм на основе STRIDE. IriusRisk и ThreatModeler — коммерческие варианты, интегрируемые с Джирой и конвейерами непрерывной интеграции и доставки для непрерывного моделирования угроз.

Моделирование угроз с помощью STRIDE систематически выявляет угрозы по диаграммам потоков данных, тогда как PASTA использует ориентированный на риск подход, начиная с бизнес-целей. Оба подхода создают приоритизированные списки угроз, которые помогают выбрать меры безопасности до написания или развёртывания кода.