Модель угроз Threat Model
Простыми словами
Это не список угроз, а способ получить из угроз выполнимые требования. Руководство объясняет, зачем: «security requirements are fiendishly difficult to discern», и без такого приёма безопасность скатывается к неисполнимым документам, полезным только против аудиторов. Предсказать все угрозы нельзя, но «it is practical to start with a high-level threat classification to illuminate threat types» — отсюда STRIDE. Ценность классификации не в полноте, а в разложимости: «The power of the threat model is that each threat class is dealt with independently and yields a different mechanism». Одну правку O-ESA вносит от себя, «exchanging the threat Repudiation for Dispute». И честно признаёт предел: «Threat modeling shows that no one security mechanism guarantees resilience to all threats».
Примеры
Табл. 1 ставит каждой угрозе свою контрмеру: подмене — аутентификацию, подделке — цифровую подпись и целостность, спору — журналирование аудита, раскрытию сведений — шифрование, отказу в обслуживании — доступность, повышению привилегий — авторизацию. Одна угроза — один механизм, и это позволяет собирать решение по стоимости.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.7.3.3 — табл. 1, Threat Models: Threats and Countermeasures
Табл. 2 добавляет к парам стандарты и в двух случаях честно пишет, что стандарта нет: для журналирования аудита нет широко внедрённого, для доступности нет вовсе. Это то место, где архитектору придётся решать самому.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.7.3.3 — табл. 2, сопоставление контрмер и стандартов безопасност…
Руководство называет три: модель угроз и поверхность атаки дают контекстно-зависимые требования, а модель контрмер сводит их в то, что можно проверить на соответствие. Поверхность атаки складывается из данных, методов и канала связи.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.7.3.3 — три артефакта проектирования безопасности и разбор Attac…
Определение из первоисточника
дословная выпискаIn brief, the threat model process begins with some mix of software architecture, design, and code artifacts. The team develops the threat model that classifies the system by a set of threats it faces. Then, through security architecture and design, countermeasures are defined to deal with the prioritized threats. The security properties deal with one or more threats.
Вкратце процесс моделирования угроз начинается с некоторой смеси артефактов программной архитектуры, проекта и кода. Команда разрабатывает модель угроз, которая классифицирует систему по набору угроз, с которыми та сталкивается. Затем через архитектуру и проектирование безопасности определяются контрмеры для работы с приоритизированными угрозами. Свойства безопасности отвечают одной или нескольким угрозам.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Основа — классификация угроз STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege), причём O-ESA вносит в неё одно изменение: угроза Repudiation заменена на Dispute. Таблица 1 сопоставляет угрозе контрмеру: Spoofing — Authentication; Tampering — Digital Signature, Integrity; Dispute — Audit Logging; Information Disclosure — Encryption; Denial of Service — Availability; Elevation of Privilege — Authorization. Таблица 2 добавляет к каждой паре стандарт, и две строки честно отмечены как «No standard».
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов