Arendustiim suudab funktsiooni ohumodelleerida ühe tunniga, kui vastab neljale küsimusele kindlas järjekorras ja lahkub kohtumiselt tiketitega, mitte dokumendiga. Küsimused pärinevad dokumendist Threat Modeling Manifesto: millega me tegeleme, mis võib valesti minna, mida me selle vastu ette võtame ja kas tegime piisavalt hea töö. Turvaarhitekti pole vaja, sest töö ei sõltu ühe inimese kaasasündinud andest.
Tund ühe pilguga
| Minutid | Küsimus | Tulemus |
|---|---|---|
| Enne | - | Üks inimene koostab andmevoodiagrammi mustandi |
| 0-10 | Millega me tegeleme | Parandatud diagramm, nummerdatud sisenemispunktid |
| 10-30 | Mis võib valesti minna | Ohtude loend, rühmitatud STRIDE kategooriate kaupa |
| 30-45 | Mida me selle vastu ette võtame | Vastus igale ohule |
| 45-55 | Tiketid ja testid | Üks tiket ja üks test iga leevenduse kohta |
| 55-60 | Kas tegime piisavalt hea töö | Täielikkuse kontroll |
Enne sessiooni
Valige üks funktsioon, mitte kogu toode. Probleemide leidmine disainietapis on palju tõhusam kui vigade parandamine toodangus, seega korraldage sessioon enne arenduse algust.
Kutsuge kohale arendaja, nõuete omanik ja, kui asjasse on seotud infrastruktuur, keegi töötajatest, kes tegeleb käitusega. Üks neist toob kaasa andmevoodiagrammi mustandi, mis on tehtud tööriistaga, mille faile saab tiim hiljem muuta.
Minutid 0-10: millega me tegeleme
Grupp parandab mustandit. OWASP Threat Modeling Cheat Sheet nõuab selget ülevaadet usaldusPiiridest, andmevoogudest, andmehoidlatest, protsessidest ja välistest olemitest, mis kujutavad sageli võimalikke ründepunkte. Kontrollige, et igaüks neist on joonisel olemas.
Kui osa osalejaid ei ole tehnilised, tehke vood selgeks tahvlil ajurünnakuna, selle asemel et nõuda DFD tähistust.
Nummerdage sisenemispunktid jooksvalt, kasutades kihiliste puhul põhi- ja alamnumbrit (1, 1.2, 1.2.1), nagu teeb OWASP kogukonna protsessileht, ning märkige ka väljumispunktid. Sisselogimislehe veateade võib võimaldada rünnakuid vastava sisenemispunkti kaudu, näiteks kontode kogumist ("kasutajanime ei leitud") või SQL-süsti (SQL-erandite veateadete kaudu).
Minutid 10-30: mis võib valesti minna
Tehnilise disaini puhul alustage STRIDE-ist. Käige iga komponent, andmevoog ja usaldusPiir läbi kuue kategooria kaudu ning märkige üles, millist sisenemispunkti ID-d iga oht puudutab.
| Kategooria | Rikub | Näide |
|---|---|---|
| Spoofing | Autentimist | Varastatud autentimistookenit kasutatakse kasutaja kehastamiseks |
| Tampering | Tervikluse | Soovimatud andmebaasimuudatused rakenduse kaudu |
| Repudiation | Arvepidamist | Logisid manipuleeritakse, et tegevusi varjata |
| Information Disclosure | Konfidentsiaalsust | Andmete väljavõtmine kasutajakontode andmebaasist |
| Denial of Service | Käideldavust | Kasutaja lukustatakse välja paljude ebaõnnestunud autentimiskatsetega |
| Elevation of Privileges | Autoriseerimist | JWT muudetakse rolli vahetamiseks |
Äriloogika reegli puhul lisage väärkasutusjuhtumid: tegevused, mis tehakse vales järjekorras, korduvalt, samaaegselt või soovimatu tulemuse saavutamiseks. Ühe mitmeetapilise ründaja eesmärgi jaoks kasutage ründepuud. Ärge lisage tehnikaid lihtsalt põhjalikkuse mulje loomiseks; põhjendage, miks iga tehnika sobib ja mida see katmata jätab.
Tõenäosuse korrutamine mõjuga kõlab korrektselt, kuid mõlemat on raske hinnata ja korrutis ignoreerib parandamise kulu. Ühe tunni jooksul piisab iga ohu jaoks jämedast hinnangust: kõrge, keskmine või madal.
Läbitöötatud näide: parooli lähtestamine
Võtame parooli lähtestamise. Diagramm näitab brauserit, veebirakendust, kasutajate andmebaasi ja e-posti teenust, kusjuures internetti ja rakendust eraldab usaldusPiir. Lähtestamistaotlus on sisenemispunkt 3 ja e-kirjaga saadetud link on 3.1 (illustreerivad ID-d).
Grupp leiab neli ohtu. Lähtestamislink toimib kellelegi teisele peale omaniku (spoofing). Teade "sellise aadressiga kontot ei ole" paljastab, kes on registreeritud (information disclosure). Lähtestamissündmusi ei logita (repudiation). Keegi käivitab ohvri vastu korduvaid lähtestamisi (denial of service).
Minutid 30-45: mida me selle vastu ette võtame
Iga ohu kohta valitakse üks neljast vastusest:
- Mitigate (leevendada): vähendada ohu realiseerumise tõenäosust.
- Eliminate (kõrvaldada): eemaldada funktsioon või komponent, mis ohu põhjustab.
- Transfer (üle kanda): anda lepinguline või rahaline vastutus teisele osapoolele.
- Accept (aktsepteerida): mitte midagi teha, sest muud valikud ei sobi ärilistesse piirangutesse.
Üleandmine ise ei vähenda tõenäosust ega kahju, seega kirjutage üles, kes vastutab allesjäävate kontrollimeetmete ja jääkriski eest. Aktsepteeritud ohtude puhul dokumenteerige, kes riski aktsepteeris ja miks.
Minutid 45-55: tiketid ja testid
Muutke iga kokkulepitud leevendus nõudeks, mille arendaja saab töösse võtta. Piisab ühest reast ohu kohta:
| Ohu ID | STRIDE | Tiket | Test |
|---|---|---|---|
| 3.1-S | Spoofing | Tehke lähtestamislingid ühekordseks ja lühiealiseks | Kasutatud või aegunud link lükatakse tagasi |
| 3-I | Information Disclosure | Tagastage mis tahes aadressi puhul üks ja sama üldine vastus | Teadaolev ja tundmatu aadress annavad identsed vastused |
| 3-R | Repudiation | Logige iga lähtestamistaotlus | Lähtestamiskatse ilmub logis |
Testide veerg teeb mudelist midagi enamat kui joonise. Iga leevenduse jaoks on vaja kontrolli, mis ebaõnnestub, kui kaitsemeede puudub. Väärkasutusjuhtumid on otse ülekantavad: esitage taotlus uuesti, saatke sammud vales järjekorras, saatke kaks taotlust korraga. Lisage tiketid funktsiooni enda backlogi ja pange ohu ID pealkirja.
Minutid 55-60: kas tegime piisavalt hea töö
Alustage lihtsa kontrolliga: kas on olemas kirjed, mis näitavad diagrammi, ohtude loendit ja kontrollimeetmete loendit? Kui mõni puudub, ei ole sessioon lõppenud. Veenduge, et igal ohul on vastus, et iga leevendus ütleb, kuidas tiim selle ellu viib, ja et aktsepteeritud riskide juures on põhjendus.
Seejärel hoidke mudel elus. Uuendage seda koos süsteemiga ja disaini muutudes käivitage uuesti ainult mõjutatud osad.
Kust alustada
- Valige üks eelseisev funktsioon ja broneerige tund arendaja, nõuete omaniku ning käitusspetsialistiga.
- Laske ühel inimesel koostada andmevoodiagrammi mustand, kuhu on märgitud usaldusPiirid. Grupp parandab selle ja nummerdab sisenemispunktid esimese kümne minuti jooksul.
- Käige STRIDE läbi iga komponendi ja voo kohta 20 minutit ning märkige iga ohu juurde mõjutatud sisenemispunkti ID.
- Määrake igale ohule vastus, märkige, kes vastutab aktsepteeritud või üle antud riski eest, ning looge iga leevenduse kohta üks tiket ja üks test.
- Hoidke diagrammi, ohtude loendit ja kontrollimeetmete loendit funktsiooni dokumentatsiooni juures. Kui soovite esimesele mudelile välist hinnangut, saab meie konsultatsiooniteenus selle üle vaadata ning dokumenteeritud ohud sobivad hästi hilisema penetratsioonitesti ulatuseks.
