نموذج التهديد المفيد يوضح ما تحميه، ومن أو ما يمكنه التأثير عليه، وأين تتغير الثقة، وكيف ستقلل أهم المخاطر وتختبرها. ابدأ بالمشروع الفعلي بدلًا من قائمة عامة بالأدوات.
حدد نطاق صغير كفاية للتفكير فيه
ابدأ بخدمة واحدة تعمل: بوابة عملاء، أو موقع نشر، أو تطبيق داخلي. اكتب المكونات التي تشغّلها والأنظمة الخارجية التي تعتمد عليها. يجب أن يُظهر نموذج التهديد الافتراضات بوضوح، لا أن يوحي بأن كل هجوم محتمل قد تم حله. اجعل النسخة الأولى صغيرة بما يكفي ليتمكن من ينشرون التطبيق من شرحها دون مستشار منفصل يفسر الرسم.
اسرد النتائج والأصول ذات القيمة. قد تشمل بيانات العملاء، وصلاحية الإدارة، وحالة الدفع، والمحتوى المنشور، والقدرة على استعادة الخدمة. قد يكون التوافر أصلًا حتى عندما تكون المعلومات عامة. حدد الأعطال التي ستكون مزعجة وتلك التي ستضر الأشخاص أو المؤسسة. يساعدك هذا التمييز على ترتيب أولويات الضوابط بدلًا من التعامل مع كل تحذير بالتساوي.
ارسم الأماكن اللي الثقة بتتغير فيها
يستخدم إرشاد نموذج التهديد من OWASP تدفقات البيانات وحدود الثقة لجعل التصميم مفهومًا. لتطبيق مستضاف صغير، ارسم المتصفح، وعملية الويب، وقاعدة البيانات، والمسؤول، ووجهة النسخ الاحتياطي، والتكاملات الخارجية. حدد المعلومات المنتقلة بينها. الطلب الذي يعبر من عميل غير موثوق إلى عملية خادم ذات صلاحيات يستحق تحققًا وتفويضًا صريحين.
لا تفترض أن وجود المكونات داخل الجهاز نفسه يجعلها كلها موثوقة بالتساوي. يجب ألا تمتلك عملية رفع عامة الأذونات نفسها التي تمتلكها إدارة قاعدة البيانات. قد تحتاج مهمة النسخ الاحتياطي إلى صلاحية قراءة دون القدرة على تعديل سجلات التطبيق الحية. فصل هذه الأدوار يجعل أثر أي مكون مخترق أسهل في الاحتواء والأذونات المطلوبة أسهل في المراجعة.
اختار سيناريوهات فشل محددة
استخدم مجموعة قليلة من الأحداث المعقولة لاختبار التصميم. يسرق مهاجم كلمة مرور مسؤول؛ يطلب مستخدم سجل مستخدم آخر؛ يملأ رفع ملف القرص؛ يكشف النشر ملف إعدادات؛ لا يمكن استعادة نسخة استرداد. صف الحالة الابتدائية والمكون المتأثر والنتيجة. السيناريو المحدد أسهل في الاختبار من تعليمات عامة بتحسين الأمان.
ضمّن الأخطاء وإساءة استخدام سير العمل المشروع إلى جانب الاختراق الخارجي. قد تنشئ إعادة المحاولة عمليتين ذواتي قيمة، أو يتسابق طلبان لتغيير الكائن نفسه. يبرز إرشاد منطق الأعمال من OWASP هذه الافتراضات في العمليات. تحقق من المسموح لهم بنقل سير العمل إلى حالته التالية وما إذا كان تكرار الطلب أو إعادة ترتيبه يغير النتيجة بشكل غير متوقع.
| السيناريو | الضابط الذي يجب فحصه | الأدلة المطلوب جمعها |
|---|---|---|
| بيانات اعتماد إدارية مسروقة | وصول مقيّد وعامل ثانٍ حيث يكون مدعومًا | لا يمكن إكمال تسجيل دخول غير مصرّح به |
| طلب كائن مستخدم آخر | تفويض الكائن من جهة الخادم | اختبار معزول يعيد نتيجة رفض |
| نفاد القرص بسبب عمليات الرفع | ضوابط الحجم والحصة والاحتفاظ | يُفرض حد قبل فشل الخدمة |
| طلب سير عمل مكرر | اللاتكرارية وحدود المعاملات | طلب متكرر ينشئ نتيجة واحدة |
رتّب حسب التأثير ومسار معقول
لكل سيناريو، سجّل تأثيره المحتمل والشروط اللازمة لحدوثه. تجنب التظاهر بأن درجة رقمية تخمينية هي احتمال دقيق. يمكنك مع ذلك التمييز بين كلمة مرور ضعيفة مكشوفة على الإنترنت وحدث محلي مشروط بشدة. عيّن مالكًا وخطوة تالية عملية للمخاطر المهمة حتى ينشئ النموذج عملًا يمكن لشخص إنجازه فعلًا.
ضع في الاعتبار دورة حياة المعلومات إلى جانب اختراق التطبيق. قد يكشف تصدير تشخيصي بيانات غير ضرورية أثناء تشغيل عادي. وقد ينشئ حقل حساب محتفظ به تعرضًا بعد انتهاء الغرض منه بوقت طويل. لذلك يمكن لمراجعة الخصوصية إزالة معلومات أو تقصير مدة الاحتفاظ، بينما تقيّد مراجعة الأمان الوصول إلى ما يتبقى. ينتمي التغييران معًا إلى النموذج عندما يحميان المشروع.
اختبر أدوات التحكم في بيئة مصرّح بها
أنشئ بيئة تجريبية بأذونات تمثيلية وسجلات مُصنّعة. اختبر رفض الوصول، وحدود الطلبات، وإعادات سير العمل، والاسترداد. لا تستخدم بيانات عملاء حقيقية عندما يمكن لبيانات اصطناعية إظهار السلوك. الهدف هو التحقق من الضابط، لا توليد حركة هجوم مثيرة. التزم بالأنظمة التي تملكها أو المصرّح لك صراحة بتقييمها.
سجّل ما نجح وما فشل وما لا يزال مجهولًا. قد تسهم نتيجة ماسح ضوئي كدليل لكنها لا تحل محل اختبار قواعد عمل التطبيق. وبالمثل، لا يتحقق خيار حماية الشبكة من تفويض الكائن أو التعامل مع الملفات السرية. أرفق النتائج المفيدة بالسيناريو حتى يفهم القائمون على الصيانة مستقبلًا سبب وجود ضابط معين.
حافظ على اتصال النموذج بالتغيير
راجع الأجزاء ذات الصلة عند إضافة تكامل، أو كشف نقطة نهاية جديدة، أو تغيير صلاحية، أو نقل بيانات إلى وجهة أخرى. لا تحتاج إلى إعادة رسم البنية كاملة لتعديل نصي بسيط. المحفز هو تغيّر افتراض حول الوصول أو المعلومات أو سلوك النظام. احتفظ بالنموذج بجانب وثائق النشر والاسترداد بدلًا من تركه كمخرَج ورشة عمل لمرة واحدة.
يوفر SwissOctet فهرسًا لخيارات البنية التحتية، وليس نموذج تهديد مكتملًا لتطبيق. اختر الإعداد والخيارات التي تدعم ضوابطك، ثم تحقق من النشر الذي تبنيه. نموذج صغير تتم صيانته بإجراءات مختبرة أكثر فائدة من مجموعة كبيرة من منتجات الأمان دون شرح واضح للمخاطر التي تعالجها.
قائمتك العملية.
- اسرد الأصول وعواقب الفشل.
- ارسم تدفقات البيانات وحدود الثقة.
- اختر سيناريوهات محددة للاختراق والخطأ وسير العمل.
- عيّن الضوابط والمالكين للمخاطر المهمة.
- اختبر ببيانات اصطناعية في بيئة مصرّح بها.
- راجع النموذج عند تغيّر افتراض ذي صلة.
التفاصيل اللي تفرق.
هل أحتاج إلى إطار رسمي للبدء؟+
لا. يمكن أن يكون رسم صغير ومجموعة موثقة من السيناريوهات مفيدًا. يساعد الإطار على ضمان مراجعة المخاطر باتساق.
هل يحل ماسح الثغرات محل نمذجة التهديدات؟+
لا. قد يجد الماسح الضوئي نقاط ضعف تقنية، بينما يفحص نموذج التهديد أيضًا افتراضات التصميم والأذونات وسير عمل الأعمال.
كم مرة يجب أن أحدّث النموذج؟+
حدّث الأجزاء المتأثرة عند تغيّر تدفقات البيانات أو التكاملات أو الصلاحيات أو الوظائف المكشوفة، وراجع المخاطر غير المحلولة بانتظام.
اذهب إلى المصدر.
تدعم هذه المراجع المفاهيم التقنية في هذا الدليل. اتبع الوثائق الحالية قبل تغيير نظام إنتاجي.
- OWASP: ورقة مرجعية لنمذجة التهديدات cheatsheetseries.owasp.org
- OWASP: نمذجة التهديدات عمليًا devguide.owasp.org
- OWASP: أمان منطق الأعمال cheatsheetseries.owasp.org
إرشاد تحريري من SwissOctet. الأمثلة توضيحية. يجب التحقق من مواصفات الخدمة والخيارات المتاحة والشروط التعاقدية بشكل منفصل.