เหตุผลที่การสร้างแบบจำลองภัยคุกคามสำคัญ

การสร้างแบบจำลองภัยคุกคาม คือแนวทางที่มีโครงสร้างสำหรับระบุสิ่งที่อาจผิดพลาดในระบบ ก่อนที่ผู้โจมตีจะค้นพบแทนคุณ คุณจะวิเคราะห์การออกแบบ แจกแจงภัยคุกคามที่อาจเกิดขึ้น และตัดสินใจว่าจะลดความเสี่ยงเหล่านั้นอย่างไร

แนวทางนี้ตอบคำถามหลักสี่ข้อ:

• เรากำลังสร้างอะไร
• อะไรอาจผิดพลาด
• เราจะจัดการกับสิ่งนั้นอย่างไร
• เราทำงานได้ดีหรือไม่

การสร้างแบบจำลองภัยคุกคามสะท้อนหลักการ เลื่อนการรักษาความปลอดภัยมาไว้ตั้งแต่ต้น โดยจัดการกับความปลอดภัยตั้งแต่ช่วงแรกของวงจรการพัฒนา แทนที่จะรอจนกว่าจะติดตั้งระบบแล้ว

ค่าใช้จ่ายในการแก้ไขข้อบกพร่องจะเพิ่มขึ้นอย่างมากเมื่อค้นพบข้อบกพร่องช้าลง:

• ระยะการออกแบบ — แก้ไขแผนภาพ แทบไม่มีค่าใช้จ่าย
• การพัฒนา — เขียนโปรแกรมบางส่วนใหม่
• ระบบจริง — แก้ไขฉุกเฉิน เกิดเหตุการณ์ และอาจเกิดการละเมิดความปลอดภัย

การพบข้อบกพร่องในการออกแบบก่อนที่จะเขียนโปรแกรมแม้แต่บรรทัดเดียวคือการแก้ไขที่มีค่าใช้จ่ายต่ำที่สุด

การสร้างแบบจำลองภัยคุกคามบังคับให้เปลี่ยนกรอบความคิดอย่างตั้งใจ คือหยุดคิดว่าระบบ ควร ทำงานอย่างไร แล้วเริ่มคิดว่าระบบอาจถูก ใช้ในทางที่ผิด ได้อย่างไร

ผู้ป้องกันมักมุ่งเน้นความสามารถและเส้นทางการทำงานปกติ ส่วนผู้โจมตีจะมองหา:

• ข้อมูลนำเข้าที่ไม่ได้ตรวจสอบความถูกต้อง
• สมมติฐานด้านความน่าเชื่อถือที่สามารถทำลายได้
• ขั้นตอนที่สามารถข้ามหรือทำซ้ำได้
• ข้อมูลที่ควรได้รับการปกป้องแต่ไม่ได้รับการปกป้อง

การสร้างแบบจำลองทำให้การคิดแบบฝ่ายตรงข้ามเป็นระบบ แทนที่จะเกิดขึ้นโดยบังเอิญ

คำสามคำนี้เป็นหลักของแบบจำลองภัยคุกคามทุกแบบ ควรแยกความหมายให้ชัดเจน:

• ทรัพย์สิน — สิ่งที่มีคุณค่าและควรได้รับการปกป้อง (ข้อมูลลูกค้า ข้อมูลรับรองตัวตน ความพร้อมใช้งาน)
• ภัยคุกคาม — เหตุการณ์หรือผู้กระทำที่อาจก่อให้เกิดความเสียหาย (ผู้โจมตีที่ขโมยข้อมูล)
• ช่องโหว่ — จุดอ่อนที่เปิดโอกาสให้ภัยคุกคามประสบความสำเร็จ (ไม่มีการตรวจสอบสิทธิ์เข้าถึง)

ความเสี่ยง เกิดขึ้นเมื่อภัยคุกคามสามารถใช้ประโยชน์จากช่องโหว่เพื่อโจมตีทรัพย์สินที่มีคุณค่า

คุณไม่สามารถปกป้องสิ่งที่ยังไม่ได้ระบุได้ เริ่มแบบจำลองภัยคุกคามทุกครั้งด้วยการจัดทำรายการสิ่งที่มีความสำคัญ

หมวดหมู่ทรัพย์สินที่พบบ่อย:

การสร้างแบบจำลองภัยคุกคามมีคุณค่ามากที่สุดในช่วงเวลาที่เฉพาะเจาะจง ไม่ใช่กิจกรรมที่ทำเพียงครั้งเดียว:

• เมื่อออกแบบ ระบบหรือความสามารถใหม่
• เมื่อปรับเปลี่ยน สถาปัตยกรรมครั้งใหญ่
• เมื่อเพิ่ม ขอบเขตความไว้วางใจใหม่ (การเชื่อมต่อใหม่หรือส่วนเชื่อมต่อโปรแกรมภายนอก)
• หลังเกิด เหตุการณ์ด้านความปลอดภัย เพื่อค้นหาช่องว่างที่เกี่ยวข้อง

ทีมที่มีวุฒิภาวะจะถือว่านี่เป็นกิจกรรมที่ต้องทำอย่างต่อเนื่อง และกลับมาทบทวนแบบจำลองเมื่อระบบพัฒนาไป

การสร้างแบบจำลองภัยคุกคามเป็นงานที่ต้องอาศัยทีม แบบจำลองที่สร้างโดยคนเพียงคนเดียวมักขาดบริบทสำคัญมากเกินไป

การประชุมที่มีประสิทธิผลควรประกอบด้วย:

• นักพัฒนา ผู้รู้ว่าระบบทำงานจริงอย่างไร
• สถาปนิกระบบ ผู้เข้าใจเจตนาของการออกแบบ
• วิศวกรความปลอดภัย ผู้รู้รูปแบบการโจมตี
• เจ้าของผลิตภัณฑ์ ผู้เข้าใจผลกระทบทางธุรกิจ

การผสมผสานมุมมองเหล่านี้ช่วยเปิดเผยภัยคุกคามที่ไม่มีบทบาทใดบทบาทหนึ่งมองเห็นได้เพียงลำพัง

มีระเบียบวิธีที่มีโครงสร้างอยู่หลายแบบ คุณสามารถผสมผสานกันได้ตามความจำเป็น:

• STRIDE — จัดประเภทภัยคุกคามตามชนิด เหมาะอย่างยิ่งสำหรับการออกแบบทางเทคนิค (จะกล่าวถึงในบทเรียนถัดไป)
• PASTA — มุ่งเน้นความเสี่ยงและเชื่อมโยงภัยคุกคามกับผลกระทบทางธุรกิจ
• ต้นไม้การโจมตี — จำลองเป้าหมายและเส้นทางของผู้โจมตี
• DREAD — แบบจำลองการให้คะแนนเพื่อจัดลำดับความสำคัญของความเสี่ยง

STRIDE เป็นจุดเริ่มต้นที่มีการสอนอย่างแพร่หลายที่สุด เพราะมีขั้นตอนเป็นระบบและเข้าใจได้ง่าย

แบบจำลองภัยคุกคามจะมีประโยชน์ก็ต่อเมื่อสร้างผลลัพธ์ที่นำไปดำเนินการได้ โดยทั่วไปผลงานส่งมอบจะประกอบด้วย:

• แผนภาพ ของระบบและขอบเขตความไว้วางใจ
• รายการภัยคุกคามที่ระบุได้ พร้อมการจัดประเภท
• ระดับความเสี่ยง ของภัยคุกคามแต่ละรายการ
• มาตรการลดความเสี่ยง หรือการตัดสินใจยอมรับความเสี่ยง
• รายการงานที่ต้องดำเนินการซึ่งมอบหมายให้ผู้รับผิดชอบ

แบบจำลองภัยคุกคามที่จบลงด้วยเอกสารซึ่งไม่มีใครนำไปดำเนินการ ถือว่าล้มเหลว

ความพยายามทำแบบจำลองภัยคุกคามมักล้มเหลวในรูปแบบที่คาดเดาได้ ควรหลีกเลี่ยงกับดักเหล่านี้:

• พยายามครอบคลุมทุกอย่าง — พยายามสร้างแบบจำลองทั้งระบบในครั้งเดียว ควรกำหนดขอบเขตให้แคบแทน
• วิเคราะห์จนตัดสินใจไม่ได้ — พูดคุยไม่รู้จบโดยไม่มีการตัดสินใจ
• ปฏิบัติต่อแบบจำลองเป็นเพียงรายการติ๊ก — จัดทำเอกสารเพื่อให้ผู้ตรวจสอบพอใจ แต่ไม่เคยนำไปดำเนินการ
• ไม่มีการติดตามผล — ระบุภัยคุกคามได้ แต่ไม่เคยติดตามมาตรการลดความเสี่ยง

กำหนดขอบเขตให้ชัดเจน จำกัดเวลา และเชื่อมโยงกับรายการงานที่ต้องดำเนินการจริง

หากคุณไม่เคยสร้างแบบจำลองภัยคุกคามมาก่อน ให้เริ่มจากขนาดเล็กด้วยขั้นตอนที่ไม่ซับซ้อนนี้:

• วาดแผนภาพอย่างง่ายของระบบและการไหลของข้อมูล
• ทำเครื่องหมายจุดที่ข้อมูลข้าม ขอบเขตความไว้วางใจ
• สำหรับแต่ละขอบเขต ให้ถามว่าผู้โจมตีอาจทำอะไรได้บ้าง
• จดภัยคุกคามสำคัญที่สุดและมาตรการลดความเสี่ยงสำหรับแต่ละรายการ
• มอบหมายผู้รับผิดชอบและกลับมาทบทวนภายหลัง

แม้แต่การประชุมหน้ากระดานเป็นเวลา 30 นาที ก็ช่วยตรวจพบปัญหาที่อาจหลุดไปถึงระบบจริงได้

ทดสอบความเข้าใจพื้นฐานเกี่ยวกับการสร้างแบบจำลองภัยคุกคาม

คุณได้เรียนรู้ว่าเหตุใดการสร้างแบบจำลองภัยคุกคามจึงสำคัญ:

• การสร้างแบบจำลองภัยคุกคามช่วยตอบอย่างเป็นโครงสร้างว่าอะไรอาจผิดพลาด ก่อนที่ผู้โจมตีจะค้นพบ
• ช่วย ย้ายการรักษาความปลอดภัยมาไว้ตั้งแต่ต้น ทำให้การแก้ไขมีค่าใช้จ่ายถูกลงมาก
• แยกแยะ ทรัพย์สิน ภัยคุกคาม และ ช่องโหว่ ความเสี่ยงเกิดขึ้นตรงจุดที่สิ่งเหล่านี้มาบรรจบกัน
• สร้างแบบจำลองในช่วงออกแบบและเมื่อมีการเปลี่ยนแปลงครั้งใหญ่ โดยใช้ทีมจากหลายสายงาน
• หลีกเลี่ยงจุดพลาด เช่น การพยายามครอบคลุมทุกอย่างและการไม่มีการติดตามผล พร้อมสร้างผลลัพธ์ที่นำไปดำเนินการได้เสมอ

ถัดไป คุณจะได้เรียนรู้กรอบการทำงาน STRIDE สำหรับจัดประเภทภัยคุกคาม