Tehdit Modellemesi Neden Önemlidir

Tehdit modelleme, saldırganlar sizin yerinize bulmadan önce bir sistemde nelerin ters gidebileceğini belirlemeye yönelik yapılandırılmış bir uygulamadır. Bir tasarımı analiz eder, olası tehditleri sıralar ve bunları nasıl azaltacağınıza karar verirsiniz.

Şu dört temel soruyu yanıtlar:

• Ne inşa ediyoruz?
• Neler ters gidebilir?
• Bununla ilgili ne yapacağız?
• İşimizi iyi yaptık mı?

Tehdit modelleme, güvenliği dağıtımdan sonra ele almak yerine geliştirme yaşam döngüsünün erken aşamalarında ele alma ilkesini, yani sola kaydırmayı, hayata geçirir.

Bir kusuru düzeltmenin maliyeti, kusur ne kadar geç bulunursa o kadar büyük ölçüde artar:

• Tasarım aşaması — bir diyagramı değiştirmek, neredeyse ücretsiz
• Geliştirme — bazı kodları yeniden yazmak
• Üretim ortamı — acil yama, olay ve olası güvenlik ihlali

Tek bir kod satırı yazılmadan önce bir tasarım kusurunu bulmak, mevcut en ucuz düzeltmedir.

Tehdit modelleme bilinçli bir bakış açısı değişimini zorunlu kılar: sistemin nasıl çalışması gerektiğini düşünmeyi bırakıp nasıl kötüye kullanılabileceğini düşünmeye başlayın.

Savunmacılar doğal olarak özelliklere ve normal, sorunsuz senaryolara odaklanır. Saldırganlar ise şunları arar:

• Doğrulanmayan girdiler
• İhlal edilebilecek güven varsayımları
• Atlanabilecek veya yeniden yürütülebilecek adımlar
• Korunması gereken ancak korunmayan veriler

Modelleme, saldırgan bakış açısıyla düşünmeyi tesadüfi olmaktan çıkarıp sistematik hale getirir.

Her tehdit modelinin temelinde üç terim bulunur. Bunları birbirinden ayırın:

• Varlık — korunmaya değer bir şey (müşteri verileri, kimlik bilgileri, kullanılabilirlik)
• Tehdit — olası kötü bir olay veya fail (verileri çalan bir saldırgan)
• Güvenlik açığı — bir tehdidin başarılı olmasını sağlayan zayıflık (eksik bir erişim denetimi)

Risk, bir tehdit değerli bir varlığa karşı güvenlik açığından yararlanabildiğinde ortaya çıkar.

Belirlemediğiniz bir şeyi koruyamazsınız. Her tehdit modeline önemli olan unsurları listeleyerek başlayın.

Yaygın varlık kategorileri:

Tehdit modelleme, tek seferlik bir etkinlik olarak değil, belirli anlarda yapıldığında en değerlidir:

• Yeni bir sistem veya özellik tasarlanırken
• Önemli bir mimari değişiklik yapılırken
• Yeni bir güven sınırı (yeni bir tümleştirme veya harici uygulama programlama arayüzü) eklenirken
• İlişkili boşlukları bulmak için bir güvenlik olayından sonra

Olgun ekipler bunu yaşayan bir faaliyet olarak görür ve sistem geliştikçe modeli yeniden ele alır.

Tehdit modelleme bir ekip işidir. Tek kişi tarafından oluşturulan bir model çok fazla bağlamı gözden kaçırır.

Etkili bir oturumda şunlar bulunur:

• Sistemin gerçekte nasıl çalıştığını bilen geliştiriciler
• Tasarımın amacını anlayan mimarlar
• Saldırı biçimlerini bilen güvenlik mühendisleri
• İş etkisini anlayan ürün sahipleri

Farklı bakış açılarının bir araya gelmesi, tek bir rolün göremeyeceği tehditleri ortaya çıkarır.

Çeşitli yapılandırılmış metodolojiler vardır; gerektiğinde bunları bir arada kullanabilirsiniz:

• STRIDE — tehditleri türlerine göre sınıflandırır; teknik tasarımlar için çok uygundur (bir sonraki derste ele alınacaktır)
• PASTA — risk odaklıdır, tehditleri iş etkisine bağlar
• Saldırı ağaçları — saldırganların hedeflerini ve izleyebilecekleri yolları modeller
• DREAD — riskleri önceliklendirmek için kullanılan bir puanlama modelidir

STRIDE, sistematik ve anlaşılması kolay olduğu için başlangıçta en yaygın öğretilen yöntemdir.

Bir tehdit modeli ancak eyleme dönüştürülebilir sonuçlar üretiyorsa yararlıdır. Çıktılar genellikle şunları içerir:

• Sistemi ve güven sınırlarını gösteren bir diyagram
• Kategorilere ayrılmış belirlenen tehditler listesi
• Her tehdit için bir risk derecesi
• Önlemler veya kabul edilen riskle ilgili kararlar
• Sorumlulara atanmış eylem maddeleri

Kimsenin harekete geçmediği bir belgeyle sona eren tehdit modeli başarısız olmuş demektir.

Tehdit modelleme çalışmaları çoğu zaman öngörülebilir biçimlerde başarısız olur. Şu tuzaklardan kaçının:

• Her şeyi birden ele almak — tüm sistemi aynı anda modellemeye çalışmak; bunun yerine kapsamı sıkı biçimde belirleyin
• Analiz felci — hiçbir karar alınmadan sürdürülen sonu gelmez tartışmalar
• Bunu bir onay kutusu olarak görmek — denetçiyi memnun etmek için bir belge hazırlamak ve ardından bu belgeye göre hiçbir şey yapmamak
• Takip etmeme — tehditleri belirleyip önlemleri hiçbir zaman izlememek

Kapsamı belirli, süresi sınırlı ve gerçek eylem maddelerine bağlı tutun.

Daha önce tehdit modellemesi yapmadıysanız, şu basit yöntemle küçük başlayın:

• Sisteminizin ve veri akışlarının basit bir diyagramını çizin
• Verilerin bir güven sınırını geçtiği yerleri işaretleyin
• Her sınır için bir saldırganın ne yapabileceğini sorun
• En önemli tehditleri ve her biri için bir önlemi yazın
• Sorumlular atayın ve daha sonra yeniden gözden geçirin

30 dakikalık bir beyaz tahta oturumu bile aksi halde üretim ortamına ulaşacak sorunları ortaya çıkarabilir.

Tehdit modellemenin neden önemli olduğunu öğrendiniz:

• Tehdit modelleme, saldırganlar fark etmeden önce neyin ters gidebileceğini sistematik olarak ortaya koyar
• Güvenliği sola kaydırır ve düzeltmeleri çok daha ucuz hâle getirir
• Varlıkları, tehditleri ve güvenlik açıklarını birbirinden ayırın; risk bu üçünün kesiştiği noktadır
• Tasarım aşamasında ve büyük değişikliklerde, farklı işlevlerden oluşan bir ekiple modelleme yapın
• Her şeyi birden ele almak ve takip etmemek gibi hatalardan kaçının; her zaman eyleme dönüştürülebilir çıktılar üretin

Sonraki derste tehditleri kategorilere ayırmak için STRIDE çerçevesini öğreneceksiniz.