STRIDE ile tehdit modelleme

Bir mimar evi inşa etmeden önce hırsızın hangi pencereden girebileceğini düşünür, çünkü projede parmaklık çizmek duvarı yıkmaktan ucuzdur. Tehdit modelleme yazılım için aynı işi yapar: sistem henüz tasarım aşamasındayken nelerin ters gidebileceğini sistemli biçimde bulur. OWASP Top 10'daki “güvensiz tasarım” kategorisi tam da bu adımın atlanmasından doğar.

1. Ne üzerinde çalışıyoruz? — sistemin modeli.
2. Ne ters gidebilir? — tehdit listesi (STRIDE).
3. Bununla ilgili ne yapacağız? — önlemler ve öncelikler.
4. İyi bir iş çıkardık mı? — doğrulama ve gözden geçirme.

Veri akış diyagramı ve güven sınırları

Model genellikle bir veri akış diyagramı (DFD) olarak çizilir. Dört öğesi vardır: dış varlık (kullanıcı, başka bir sistem), süreç (kod), veri deposu (veri tabanı, dosya) ve veri akışı (ok). Beşinci önemli kavram güven sınırıdır: güven düzeyinin değiştiği çizgi, örneğin internet ile sunucu arasında. Tehditler en çok sınırları geçen akışlarda toplanır.

STRIDE: altı tehdit kategorisi

Öğe başına STRIDE yaklaşımında her DFD öğesine yalnızca ona uyan harfler uygulanır: dış varlığa S ve R, sürece altısı birden, veri akışına ve veri deposuna T, I ve D (depo kayıt tutuyorsa R de). Böylece tehdit soruları listesi hem eksiksiz hem de yönetilebilir olur.

STRIDE = {
    'S': 'Spoofing', 'T': 'Tampering', 'R': 'Repudiation',
    'I': 'Information disclosure', 'D': 'Denial of service',
    'E': 'Elevation of privilege',
}
PER_ELEMENT = {
    'external entity': 'SR',
    'process': 'STRIDE',
    'data store': 'TID',
    'data flow': 'TID',
}
diagram = [
    ('Student browser', 'external entity'),
    ('Login API', 'process'),
    ('Users DB', 'data store'),
    ('Browser -> API', 'data flow'),
]
total = 0
for name, kind in diagram:
    letters = PER_ELEMENT[kind]
    total += len(letters)
    print(name.ljust(16), kind.ljust(16), letters)
print('Threat questions to answer:', total)
print('For the process:', ', '.join(STRIDE[c] for c in PER_ELEMENT['process']))

Student browser  external entity  SR
Login API        process          STRIDE
Users DB         data store       TID
Browser -> API   data flow        TID
Threat questions to answer: 14
For the process: Spoofing, Tampering, Repudiation, Information disclosure, Denial of service, Elevation of privilege

Önceliklendirme: parayla risk

Tehdit listesi genellikle bütçeden uzundur. Nitel yöntem R = L × I matrisidir. Nicel yöntem ise beklenen yıllık kaybı parayla ifade eder. Mantığı olasılık kuramındaki beklenen değerdir: bir olayın kaybı × yılda beklenen olay sayısı.

Bağlantılar: tehdit modelleme, güvenli yazılım geliştirme yaşam döngüsünün (örneğin Microsoft SDL) standart bir adımıdır. STRIDE'ın yanında saldırı ağaçları, PASTA metodolojisi ve gizlilik tehditleri için LINDDUN kullanılır. Aynı düşünce biçimi mühendislikteki emniyet analizinde ve bankaların operasyonel risk yönetiminde de işe yarar.

asset_value = 80_000      # AZN
exposure_factor = 0.25
aro_before = 2
aro_after = 0.2
control_cost = 15_000     # AZN per year

# compute sle, ale_before, ale_after and print:
# SLE: ...
# ALE before: ...
# ALE after: ...
# Net benefit: ...

SLE: 20000.0
ALE before: 40000.0
ALE after: 4000.0
Net benefit: 21000.0