Ένα χρήσιμο μοντέλο απειλών εξηγεί τι προστατεύετε, ποιος ή τι μπορεί να το επηρεάσει, πού αλλάζει η εμπιστοσύνη και πώς θα μειώσετε και θα δοκιμάσετε τους σημαντικότερους κινδύνους. Ξεκινήστε από το πραγματικό έργο αντί από έναν γενικό κατάλογο εργαλείων.
Καθορίστε ένα πεδίο αρκετά μικρό ώστε να μπορείτε να το συλλογιστείτε
Ξεκινήστε με μία λειτουργική υπηρεσία: μια πύλη πελατών, έναν ιστότοπο δημοσίευσης ή μια εσωτερική εφαρμογή. Καταγράψτε τα στοιχεία που λειτουργείτε και τα εξωτερικά συστήματα στα οποία βασίζεστε. Ένα μοντέλο απειλών πρέπει να κάνει τις υποθέσεις ορατές, όχι να υπονοεί ότι κάθε πιθανή επίθεση έχει αντιμετωπιστεί. Κρατήστε την πρώτη έκδοση αρκετά μικρή ώστε τα άτομα που αναπτύσσουν την εφαρμογή να μπορούν να την εξηγήσουν χωρίς ξεχωριστό σύμβουλο να ερμηνεύει το διάγραμμα.
Καταγράψτε τα πολύτιμα αποτελέσματα και περιουσιακά στοιχεία. Αυτά μπορεί να περιλαμβάνουν δεδομένα πελατών, πρόσβαση διαχείρισης, κατάσταση πληρωμών, δημοσιευμένο περιεχόμενο και την ικανότητα αποκατάστασης της υπηρεσίας. Η διαθεσιμότητα μπορεί να είναι περιουσιακό στοιχείο ακόμη και όταν οι πληροφορίες είναι δημόσιες. Αποφασίστε ποιες αστοχίες θα ήταν άβολες και ποιες θα έβλαπταν ανθρώπους ή τον οργανισμό. Αυτή η διάκριση σας βοηθά να ιεραρχήσετε τους ελέγχους αντί να αντιμετωπίζετε κάθε προειδοποίηση το ίδιο.
Σχεδιάστε τα σημεία όπου αλλάζει η εμπιστοσύνη
Οι οδηγίες μοντελοποίησης απειλών του OWASP χρησιμοποιούν ροές δεδομένων και όρια εμπιστοσύνης για να κάνουν έναν σχεδιασμό κατανοητό. Για μια μικρή φιλοξενούμενη εφαρμογή, σχεδιάστε το πρόγραμμα περιήγησης, τη διεργασία web, τη βάση δεδομένων, τον διαχειριστή, τον προορισμό αντιγράφων ασφαλείας και τις εξωτερικές ενσωματώσεις. Σημειώστε τις πληροφορίες που κινούνται μεταξύ τους. Ένα αίτημα που περνά από ένα μη αξιόπιστο πρόγραμμα-πελάτη σε μια προνομιούχο λειτουργία διακομιστή αξίζει ρητή επικύρωση και εξουσιοδότηση.
Μην υποθέτετε ότι το να βρίσκεστε στο ίδιο μηχάνημα κάνει κάθε στοιχείο εξίσου αξιόπιστο. Μια δημόσια διαδικασία μεταφόρτωσης δεν πρέπει να έχει τα ίδια δικαιώματα με τη διαχείριση της βάσης δεδομένων. Μια εργασία αντιγράφων ασφαλείας μπορεί να χρειάζεται πρόσβαση ανάγνωσης χωρίς τη δυνατότητα τροποποίησης ενεργών εγγραφών της εφαρμογής. Ο διαχωρισμός αυτών των ρόλων κάνει την επίδραση ενός παραβιασμένου στοιχείου ευκολότερη στον περιορισμό και τα απαιτούμενα δικαιώματα ευκολότερα στην επανεξέταση.
Επιλέξτε συγκεκριμένα σενάρια αστοχίας
Χρησιμοποιήστε μια χούφτα εύλογα γεγονότα για να αμφισβητήσετε τον σχεδιασμό. Ένας επιτιθέμενος κλέβει έναν κωδικό πρόσβασης διαχειριστή· ένας χρήστης ζητά την εγγραφή άλλου χρήστη· μια μεταφόρτωση γεμίζει τον δίσκο· μια ανάπτυξη εκθέτει ένα αρχείο διαμόρφωσης· ένα αντίγραφο ανάκτησης δεν μπορεί να επαναφερθεί. Περιγράψτε την αρχική συνθήκη, το επηρεαζόμενο στοιχείο και τη συνέπεια. Ένα συγκεκριμένο σενάριο είναι ευκολότερο να δοκιμαστεί από μια γενική οδηγία βελτίωσης της ασφάλειας.
Συμπεριλάβετε λάθη και κατάχρηση νόμιμων ροών εργασίας καθώς και εξωτερική εισβολή. Μια επανάληψη μπορεί να δημιουργήσει δύο πολύτιμες λειτουργίες ή δύο αιτήματα μπορεί να συναγωνιστούν για να αλλάξουν το ίδιο αντικείμενο. Οι οδηγίες επιχειρησιακής λογικής του OWASP επισημαίνουν αυτές τις υποθέσεις της διαδικασίας. Ελέγξτε ποιος επιτρέπεται να μετακινήσει μια ροή εργασίας στην επόμενη κατάστασή της και αν η επανάληψη ή η αναδιάταξη ενός αιτήματος αλλάζει απροσδόκητα το αποτέλεσμα.
| Σενάριο | Έλεγχος προς διερεύνηση | Στοιχεία προς συλλογή |
|---|---|---|
| Κλεμμένο διαπιστευτήριο διαχείρισης | Περιορισμένη πρόσβαση και δεύτερος παράγοντας όπου υποστηρίζεται | Μια μη εξουσιοδοτημένη σύνδεση δεν μπορεί να ολοκληρωθεί |
| Ζητήθηκε αντικείμενο άλλου χρήστη | Εξουσιοδότηση αντικειμένου από την πλευρά του διακομιστή | Μια απομονωμένη δοκιμή επιστρέφει αποτέλεσμα άρνησης |
| Ο δίσκος εξαντλήθηκε από μεταφορτώσεις | Έλεγχοι μεγέθους, ποσόστωσης και διατήρησης | Ένα όριο επιβάλλεται πριν από την αστοχία της υπηρεσίας |
| Διπλό αίτημα ροής εργασίας | Ιδιοδυναμικότητα και όρια συναλλαγών | Ένα επαναλαμβανόμενο αίτημα δημιουργεί ένα αποτέλεσμα |
Ιεραρχήστε με βάση τον αντίκτυπο και μια αξιόπιστη διαδρομή
Για κάθε σενάριο, καταγράψτε τον πιθανό αντίκτυπό του και τις συνθήκες που απαιτούνται για να συμβεί. Αποφύγετε να προσποιείστε ότι μια εκτιμώμενη αριθμητική βαθμολογία είναι ακριβής πιθανότητα. Μπορείτε ακόμη να διακρίνετε έναν αδύναμο κωδικό πρόσβασης εκτεθειμένο στο διαδίκτυο από ένα εξαιρετικά υπό όρους τοπικό γεγονός. Αναθέστε έναν υπεύθυνο και ένα πρακτικό επόμενο βήμα στους σημαντικούς κινδύνους ώστε το μοντέλο να δημιουργεί εργασία που κάποιος μπορεί πραγματικά να ολοκληρώσει.
Εξετάστε τον κύκλο ζωής των πληροφοριών καθώς και την παραβίαση της εφαρμογής. Μια διαγνωστική εξαγωγή μπορεί να αποκαλύψει περιττά δεδομένα κατά τη διάρκεια μιας κατά τα άλλα κανονικής λειτουργίας. Ένα διατηρούμενο πεδίο λογαριασμού μπορεί να δημιουργήσει έκθεση πολύ μετά τη λήξη του σκοπού του. Η επανεξέταση απορρήτου μπορεί επομένως να αφαιρέσει πληροφορίες ή να συντομεύσει τη διατήρηση, ενώ η επανεξέταση ασφάλειας περιορίζει την πρόσβαση σε ό,τι απομένει. Και οι δύο αλλαγές ανήκουν στο μοντέλο όταν προστατεύουν το έργο.
Δοκιμάστε τους ελέγχους σε εξουσιοδοτημένο περιβάλλον
Δημιουργήστε ένα περιβάλλον δοκιμών με αντιπροσωπευτικά δικαιώματα και κατασκευασμένα αρχεία. Δοκιμάστε την άρνηση πρόσβασης, τα όρια αιτημάτων, τις επαναλήψεις ροών εργασίας και την ανάκτηση. Μην χρησιμοποιείτε πραγματικά δεδομένα πελατών όταν συνθετικά δεδομένα μπορούν να καταδείξουν τη συμπεριφορά. Ο στόχος είναι να επαληθευτεί ο έλεγχος, όχι να παραχθεί εντυπωσιακή κίνηση επιθέσεων. Παραμείνετε εντός συστημάτων που σας ανήκουν ή για τα οποία έχετε ρητή εξουσιοδότηση αξιολόγησης.
Καταγράψτε τι πέρασε, τι απέτυχε και τι παραμένει άγνωστο. Ένα αποτέλεσμα σαρωτή μπορεί να συνεισφέρει αποδεικτικά στοιχεία αλλά δεν αντικαθιστά μια δοκιμή των επιχειρησιακών κανόνων της εφαρμογής. Παρομοίως, μια επιλογή προστασίας δικτύου δεν επαληθεύει την εξουσιοδότηση αντικειμένων ή τον χειρισμό αρχείων μυστικών. Επισυνάψτε τα χρήσιμα αποτελέσματα στο σενάριο ώστε οι μελλοντικοί συντηρητές να κατανοούν γιατί υπάρχει ένας συγκεκριμένος έλεγχος.
Κρατήστε το μοντέλο συνδεδεμένο με την αλλαγή
Επανεξετάστε τα σχετικά μέρη όταν προσθέτετε μια ενσωμάτωση, εκθέτετε ένα νέο τελικό σημείο, αλλάζετε ένα προνόμιο ή μεταφέρετε δεδομένα σε άλλο προορισμό. Δεν χρειάζεται να σχεδιάσετε ξανά ολόκληρη την αρχιτεκτονική για μια μικρή αλλαγή κειμένου. Το έναυσμα είναι μια αλλαγμένη υπόθεση σχετικά με την πρόσβαση, τις πληροφορίες ή τη συμπεριφορά του συστήματος. Κρατήστε το μοντέλο δίπλα στην τεκμηρίωση ανάπτυξης και ανάκτησης αντί να το αφήνετε ως αποτέλεσμα εργαστηρίου μιας χρήσης.
Το SwissOctet παρέχει έναν κατάλογο επιλογών υποδομής, όχι ένα ολοκληρωμένο μοντέλο απειλών εφαρμογής. Επιλέξτε τη διαμόρφωση και τις επιλογές που υποστηρίζουν τους ελέγχους σας και στη συνέχεια επαληθεύστε την ανάπτυξη που δημιουργείτε. Ένα μικρό, συντηρούμενο μοντέλο με δοκιμασμένες ενέργειες είναι πιο χρήσιμο από μια μεγάλη συλλογή προϊόντων ασφαλείας χωρίς σαφή εξήγηση των κινδύνων που αντιμετωπίζουν.
Η πρακτική λίστα ελέγχου σας.
- Καταγράψτε τα περιουσιακά στοιχεία και τις συνέπειες αποτυχίας.
- Σχεδιάστε ροές δεδομένων και όρια εμπιστοσύνης.
- Επιλέξτε συγκεκριμένα σενάρια εισβολής, λάθους και ροής εργασίας.
- Αναθέστε ελέγχους και υπεύθυνους στους σημαντικούς κινδύνους.
- Δοκιμάστε με συνθετικά δεδομένα σε εξουσιοδοτημένο περιβάλλον.
- Επανεξετάστε το μοντέλο όταν αλλάζει μια σχετική υπόθεση.
Οι λεπτομέρειες που έχουν σημασία.
Χρειάζομαι ένα επίσημο πλαίσιο για να ξεκινήσω;+
Όχι. Ένα μικρό διάγραμμα και ένα τεκμηριωμένο σύνολο σεναρίων μπορούν να είναι χρήσιμα. Ένα πλαίσιο βοηθά να επανεξετάζετε τους κινδύνους με συνέπεια.
Ένας σαρωτής ευπαθειών αντικαθιστά τη μοντελοποίηση απειλών;+
Όχι. Οι σαρωτές μπορεί να βρουν τεχνικές αδυναμίες, ενώ ένα μοντέλο απειλών εξετάζει επίσης υποθέσεις σχεδιασμού, δικαιώματα και επιχειρησιακές ροές εργασίας.
Πόσο συχνά πρέπει να ενημερώνω το μοντέλο;+
Ενημερώστε τα επηρεαζόμενα μέρη όταν αλλάζουν οι ροές δεδομένων, οι ενσωματώσεις, τα προνόμια ή η εκτεθειμένη λειτουργικότητα, και επανεξετάζετε τακτικά τους άλυτους κινδύνους.
Πηγαίνετε στην πηγή.
Αυτές οι αναφορές υποστηρίζουν τις τεχνικές έννοιες σε αυτόν τον οδηγό. Ακολουθήστε την τρέχουσα τεκμηρίωση πριν αλλάξετε ένα σύστημα παραγωγής.
- OWASP: Φύλλο αναφοράς μοντελοποίησης απειλών cheatsheetseries.owasp.org
- OWASP: Μοντελοποίηση απειλών στην πράξη devguide.owasp.org
- OWASP: Ασφάλεια επιχειρησιακής λογικής cheatsheetseries.owasp.org
Συντακτική καθοδήγηση από SwissOctet. Τα παραδείγματα είναι ενδεικτικά. Οι προδιαγραφές υπηρεσιών, οι διαθέσιμες επιλογές και οι συμβατικοί όροι πρέπει να επαληθεύονται ξεχωριστά.