Praktisk hotmodellering

Metoderna varierar, men de flesta processer för hotmodellering följer dessa viktiga steg:

1. Definiera omfattningen: Vilket system eller vilken funktion analyserar vi?
2. Bryt ned applikationen: Förstå hur systemet fungerar (komponenter, dataflöden och förtroendegränser).
3. Identifiera hot: Brainstorma möjliga attacker mot systemet.
4. Identifiera sårbarheter: Lokalisera svagheter som kan göra att hot lyckas.
5. Åtgärda: Utforma och implementera kontroller för att minska risken.
6. Verifiera: Säkerställ att åtgärderna är effektiva.

STRIDE är en välanvänd minnesregel som utvecklats av Microsoft. Den hjälper till att kategorisera hot mot ett system utifrån olika typer av säkerhetsegenskaper.

Varje bokstav i STRIDE representerar en specifik hotkategori:

• Spoofing
• Tampering
• Repudiation
• Information Disclosure
• Denial of Service
• Elevation of Privilege

Nu går vi igenom var och en.

• Spoofing (S): Detta hot innebär att en angripare utger sig för att vara någon annan eller något annat. Tänk på identitetsstöld eller förfalskning av en käll-IP-adress. Det angriper autentisering.
• Tampering (T): Detta innebär obehörig ändring av data. En angripare ändrar data under överföring eller i vila för att uppnå ett skadligt mål. Det angriper integritet.

Dessa två hänger ofta ihop, eftersom förfalskning av en identitet kan leda till att data manipuleras.

• Repudiation (R): Detta inträffar när en användare förnekar att ha utfört en åtgärd och det saknas möjlighet att bevisa motsatsen. Exempelvis att förneka en transaktion. Det angriper oavvislighet och kräver robust loggning.
• Information Disclosure (I): Detta är obehörig exponering av känsliga data. Det kan vara allt från användarlösenord till konfidentiell affärslogik. Det angriper konfidentialitet.

Korrekt loggning och åtkomstkontroll är centrala för att hantera dessa hot.

• Denial of Service (D): En angripare gör ett system eller en tjänst otillgänglig för legitima användare. Det kan ske genom att överbelasta en server med förfrågningar eller krascha en applikation. Det angriper tillgänglighet.
• Elevation of Privilege (E): En angripare får högre åtkomsträttigheter än den borde ha, till exempel genom att en vanlig användare blir administratör. Det angriper auktorisering.

Dessa hot får ofta betydande affärsmässiga konsekvenser, från förlorade intäkter till fullständig kompromettering av systemet.

För att tillämpa STRIDE effektivt måste ni först förstå systemet. Data Flow Diagrams (DFD) är utmärkta för detta.

DFD:er hjälper er att visualisera:

• Processer: Där data omvandlas.
• Datalager: Där data lagras (databaser och filer).
• Externa entiteter: Användare och andra system som interagerar med ert.
• Dataflöden: Hur data rör sig mellan komponenter.

Genom att kartlägga dessa kan ni identifiera ”förtroendegränser” och attackytor.

När hot har identifierats (till exempel med hjälp av STRIDE) behöver de prioriteras. Metoden DREAD hjälper till att bedöma hur allvarligt ett hot är genom att ta hänsyn till fem faktorer:

• Damage (skada): Hur allvarlig skulle en attack vara?
• Reproducibility (reproducerbarhet): Hur enkelt är det att upprepa attacken?
• Exploitability (utnyttjbarhet): Hur enkelt är det att genomföra attacken?
• Affected Users (berörda användare): Hur många användare skulle påverkas?
• Discoverability (upptäckbarhet): Hur enkelt är det att hitta sårbarheten?

Varje faktor bedöms vanligtvis på en skala (till exempel 1–10 eller låg/medel/hög), och poängen kombineras för att ge en övergripande riskbedömning.

Föreställ er följande potentiella hot: En användare utan autentisering kan komma åt en annan användares profildata.

Med hjälp av DREAD kan vi bedöma det så här:

• Damage: Hög (känsliga uppgifter exponeras).
• Reproducibility: Hög (enkelt att upprepa).
• Exploitability: Medel (kräver viss kunskap, men är vanligt förekommande).
• Affected Users: Hög (alla användares data är i riskzonen).
• Discoverability: Medel (kan upptäckas genom testning eller av en slump).

Ett högt övergripande DREAD-värde visar att det rör sig om ett kritiskt hot som kräver omedelbar åtgärd.

Vi har utforskat området hotmodellering, en viktig proaktiv säkerhetsmetod.

• Den hjälper till att identifiera och åtgärda sårbarheter tidigt i utvecklingsprocessen.
• Metoden STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) tillhandahåller ett ramverk för att kategorisera hot.
• Data Flow Diagrams (DFDs) är värdefulla verktyg för att visualisera systemkomponenter och dataflöden.
• Metoden DREAD (Damage, Reproducibility, Exploitability, Affected Users, Discoverability) hjälper till att prioritera identifierade hot utifrån deras potentiella påverkan och sannolikhet.

Genom att tillämpa dessa metoder kan ni bygga säkrare system från grunden!