Hotmodellering med STRIDE och PASTA

STRIDE är ett system för klassificering av hot, utvecklat av Microsoft, vars namn fungerar som en minnesregel. Varje bokstav representerar en hotkategori: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service och Elevation of Privilege. Tillämpa STRIDE systematiskt på varje komponent i arkitekturen.

Spoofing: Kan en angripare utge sig för att vara en legitim användare, tjänst eller komponent? Motåtgärder: stark autentisering och certifikat. Tampering: Kan en angripare ändra data under överföring eller i vila? Motåtgärder: digitala signaturer, HMAC, integritetskontroller och TLS.

Repudiation: Kan en användare förneka att hen har utfört en åtgärd? Motåtgärd: granskningsloggning och digitala signaturer. Information Disclosure: Kan känsliga data exponeras? Motåtgärd: kryptering och åtkomstkontroll. Denial of Service: Kan tillgängligheten störas? Motåtgärd: hastighetsbegränsning, redundans och validering av indata.

Kan en angripare få högre behörighet än avsett? Kartlägg alla behörighetsnivåer i systemet. Kontrollera följande: Kan en användare med låg behörighet få åtkomst till administratörsfunktioner? Kan en användarprocess ta sig ut ur sin sandlåda? Varje väg till högre behörighet kräver en motåtgärd i form av åtkomstkontroll.

Skapa ett DFD som visar processer, datalager, externa entiteter och dataflöden, och markera förtroendegränserna. Varje element och varje passage över en förtroendegräns ger upphov till STRIDE-hot. DFD:er ger den systematiska struktur som förhindrar att angreppsytor förbises.

Process for Attack Simulation and Threat Analysis (PASTA) är en riskcentrerad metod för hotmodellering med sju steg: definiera mål, definiera teknisk omfattning, bryt ned applikationen, analysera hot, identifiera sårbarheter, kartlägg angrepp och genomför riskanalys med motåtgärder.

STRIDE fokuserar på komponenter – hot genereras systematiskt från ett DFD. PASTA fokuserar på risker – metoden utgår från verksamhetsmål och arbetar sig ned till tekniska hot. STRIDE fungerar väl i utvecklingsteam, medan PASTA passar bättre för riskhantering och kommunikation med ledningen.

Angreppsträd bryter ned ett övergripande hotmål (till exempel ”stjäla autentiseringstoken”) i delträd med alternativa angreppsvägar. Varje lövnod är ett specifikt och konkret angrepp. Boolesk logik (AND/OR) visar om alla eller någon av delvillkoren måste vara sanna för att angreppet ska lyckas.

OWASP Threat Dragon är ett kostnadsfritt hotmodelleringsverktyg med öppen källkod som bygger på DFD:er. Microsoft Threat Modeling Tool innehåller en STRIDE-baserad motor. IriusRisk och ThreatModeler är kommersiella alternativ som integreras med Jira och CI/CD-pipelines för kontinuerlig hotmodellering.

Hotmodellering med STRIDE genererar systematiskt hot från dataflödesdiagram, medan PASTA använder en riskcentrerad metod som utgår från verksamhetsmål. Båda metoderna skapar prioriterade hotlistor som vägleder valet av säkerhetskontroller innan kod skrivs eller distribueras.