Che cos'è la modellazione delle minacce di sicurezza? - dummies

Modellazione delle minacce è un tipo di analisi dei rischi utilizzata per identificare i difetti di sicurezza nella fase di progettazione di un sistema informativo. La modellazione delle minacce viene spesso applicata alle applicazioni software, ma può essere utilizzata con sistemi operativi e dispositivi con la stessa efficacia.

La modellizzazione delle minacce è tipicamente incentrata sugli attacchi; la modellazione delle minacce viene spesso utilizzata per identificare le vulnerabilità che possono essere sfruttate da un utente malintenzionato nelle applicazioni software.

La modellazione delle minacce è più efficace se eseguita nella fase di progettazione di un sistema o applicazione di informazioni. Quando le minacce e la loro mitigazione vengono identificate nella fase di progettazione, viene risparmiato molto sforzo evitando modifiche di progettazione e correzioni in un sistema esistente.

Sebbene esistano approcci diversi alla modellazione delle minacce, i passaggi tipici sono

• Identificazione delle minacce
• Determinazione e diagrammi di potenziali attacchi
• Esecuzione dell'analisi di riduzione
• Risanamento delle minacce

Identificazione delle minacce

L'identificazione delle minacce è il primo passo che viene eseguito nella modellazione delle minacce. Le minacce sono quelle azioni che un utente malintenzionato potrebbe eseguire correttamente se sono presenti vulnerabilità corrispondenti nell'applicazione o nel sistema.

Per le applicazioni software, ci sono due mnemonici usati come ausilio nella memoria durante la modellazione delle minacce. Sono

• STRIDE, un elenco di minacce di base (sviluppato da Microsoft):
  • Spoofing dell'identità utente
  • Manomissione
  • Rifiuto
  • Divulgazione delle informazioni
  • Negazione del servizio
  • Elevazione dei privilegi
• DREAD, una vecchia tecnica usata per valutare le minacce:
  • Danni
  • Riproducibilità
  • Sfruttabilità
  • Utenti interessati
  • Scoperabilità

Mentre questi stessi mnemonici non contengono minacce, assistono la modellizzazione delle minacce individuali, ricordando l'individuo delle categorie di minacce di base (STRIDE) e le loro analisi (DREAD).

Le appendici D ed E in NIST SP800-30, Guida per la conduzione delle valutazioni del rischio, sono una buona fonte generica di minacce.

Determinazione e diagrammi di potenziali attacchi

Dopo aver identificato le minacce, la modellazione delle minacce continua attraverso la creazione di diagrammi che illustrano gli attacchi a un'applicazione oa un sistema. È possibile sviluppare un albero di attacco. Descrive i passaggi necessari per attaccare un sistema. La seguente figura illustra un albero di attacco di un'applicazione di mobile banking.

Albero di attacco per un'applicazione di mobile banking.

Un albero di attacco illustra i passaggi utilizzati per attaccare un sistema di destinazione.

Esecuzione dell'analisi della riduzione

Quando si esegue un'analisi delle minacce su un'applicazione complessa o un sistema, è probabile che vi siano molti elementi simili che rappresentano duplicati della tecnologia. L'analisi di riduzione è un passo facoltativo nella modellazione delle minacce per evitare la duplicazione degli sforzi. Non ha senso passare molto tempo ad analizzare diversi componenti in un ambiente se utilizzano tutti la stessa tecnologia e configurazione.

Ecco alcuni esempi tipici:

• Un'applicazione contiene diversi campi modulo (derivati ​​dallo stesso codice sorgente) che richiedono il numero di conto bancario. Poiché tutti i moduli di input sul campo utilizzano lo stesso codice, l'analisi dettagliata deve essere eseguita una sola volta.
• Un'applicazione invia diversi tipi di messaggi sulla stessa connessione TLS. Poiché vengono utilizzati lo stesso certificato e la stessa connessione, l'analisi dettagliata della connessione TLS deve essere eseguita una sola volta.

Tecnologie e processi per rimediare alle minacce

Proprio come nell'analisi dei rischi di routine, il prossimo passo nell'analisi delle minacce è l'enumerazione delle potenziali misure per mitigare la minaccia identificata. Poiché la natura delle minacce varia molto, la riparazione può consistere in uno o più dei seguenti per ciascun rischio:

• Modificare il codice sorgente (ad esempio, aggiungere funzioni per esaminare da vicino i campi di input e filtrare gli attacchi di iniezione).
• Cambia configurazione (ad esempio, passa a un algoritmo di crittografia più sicuro o espira le password più frequentemente).
• Cambia processo aziendale (ad esempio, aggiungi o cambia passaggi in un processo o procedura per registrare o esaminare i dati chiave).
• Cambiare il personale (ad esempio, fornire formazione, trasferire la responsabilità di un'attività a un'altra persona)

Ricordare che le quattro opzioni per il trattamento del rischio sono la mitigazione, il trasferimento, l'elusione e l'accettazione. Nel caso della modellazione di minacce, alcune minacce potrebbero essere accettate così come sono.