Azərbaycanca AzərbaycancaБеларускі БеларускіDansk DanskDeutsch DeutschEspañola EspañolaFrançais FrançaisIndonesia IndonesiaItaliana Italiana日本語 日本語Қазақ ҚазақLietuvos LietuvosNederlands NederlandsPortuguês PortuguêsРусский Русскийසිංහල සිංහලแบบไทย แบบไทยTürkçe TürkçeУкраїнська Українська中國人 中國人United State United StateAfrikaans Afrikaans
Підтримка
www.wikidata.uk-ua.nina.az

Моделювання загроз це процес за допомогою якого потенційні загрози такі як en або відсутність відповідних гарантій можут

Модель загроз

Модель загроз

Моделювання загроз — це процес, за допомогою якого потенційні загрози, такі як [en] або відсутність відповідних гарантій, можуть бути ідентифіковані та перераховані, а також можуть бути визначені пріоритети контрзаходів. Мета моделювання загроз полягає в тому, щоб надати захисникам систематичний аналіз того, які засоби контролю або захисту необхідно включити, враховуючи природу системи, профіль ймовірного зловмисника, найбільш ймовірні вектори атаки та активи, найбільш бажані для зловмисника. Моделювання загроз відповідає на такі запитання, як «Де я найбільш вразливий до атак?», «Які загрози найбільш актуальні?» і «Що мені потрібно зробити, щоб захиститися від цих загроз?» .

Еволюція моделювання загроз у ІТ

Невдовзі після того, як спільні обчислення дебютували на початку 1960-х років, люди почали шукати способи використання вразливостей безпеки для особистої вигоди. У результаті інженери та комп'ютерники незабаром почали розробляти концепції моделювання загроз для систем інформаційних технологій.

Ранні методи моделювання загроз на основі ІТ базувалися на концепції архітектурних шаблонів вперше представленій [en] у 1977 році. У 1988 році Роберт Барнард розробив і успішно застосував перший профіль атакуючого для ІТ-системи.

У 1994 році Едвард Аморозо висунув концепцію «дерева загроз» у своїй книзі «Основи технології комп'ютерної безпеки». Концепція дерева загроз була заснована на діаграмах дерева рішень. Дерева загроз графічно представляють, як можна використати потенційну загрозу ІТ-системі.

Незалежно подібну роботу провели NSA і DARPA над структурованим графічним представленням того, як можуть бути виконані конкретні атаки на ІТ-системи. Отримане представлення було названо «». У 1998 році Брюс Шнайер опублікував свій аналіз кіберризиків, використовуючи дерева атак, у своїй статті під назвою «До методології розробки безпечних систем». Стаття виявилася фундаментальним внеском в еволюцію моделювання загроз для ІТ-систем. В аналізі Шнайєра мета зловмисника представлена як «кореневий вузол», а потенційні засоби досягнення мети представлені як «листові вузли». Використання дерева атак таким чином дозволило фахівцям з кібербезпеки систематично розглядати численні вектори атак проти будь-якої визначеної цілі.

У 1999 році фахівці з кібербезпеки Microsoft [en] і Преріт Гарг розробили модель для розгляду атак, пов'язаних із середовищем розробки Microsoft Windows. ([en] є акровіршем для: Підробка ідентифікаційної інформації (англ. Spoofing identity), Втручання в дані (англ. Tampering with data), Відмова (англ. Repudiation), Розголошення інформації (англ. Information disclosure), Відмова в обслуговуванні (англ. Denial of service), Підвищення привілеїв (англ. Elevation of privilege)) Отримана мнемоніка допомагає фахівцям із безпеки систематично визначати, як потенційний зловмисник може використати будь-яку загрозу, включену в STRIDE.

У 2003 році методологія моделювання загроз OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation), орієнтована на операції, була представлена з акцентом на організаційному управлінні ризиками.

У 2004 році Френк Свідерскі та [en] написали «Моделювання загроз» у видавництві Microsoft. У ньому вони розробили концепцію використання моделей загроз для створення безпечних програм.

У 2014 році Райан Стіліонс висловив ідею про те, що кіберзагрози повинні бути виражені різними семантичними рівнями, і запропонував модель DML (Detection Maturity Level). Атака — це втілення сценарію загрози, спричиненого конкретним зловмисником із певною метою та стратегією досягнення цієї мети. Ціль і стратегія представляють найвищі семантичні рівні моделі DML. Далі слідують TTP (тактика, техніка та процедури), які представляють проміжні семантичні рівні. Найнижчими семантичними рівнями моделі DML є інструменти, які використовує зловмисник, хост і спостережувані мережеві артефакти, такі як пакети та корисні дані, і, нарешті, атомарні індикатори, такі як IP-адреси на найнижчому семантичному рівні. Поточні інструменти SIEM зазвичай надають індикатори лише на найнижчих семантичних рівнях. Тому існує потреба в розробці інструментів SIEM, які можуть надавати індикатори загроз на вищих семантичних рівнях.

Методології моделювання загроз для цілей ІТ

Концептуально практика моделювання загроз витікає з методології. Для впровадження доступні численні методології моделювання загроз. Як правило, моделювання загроз впроваджується за допомогою одного з п'яти підходів незалежно: орієнтованого на активи, орієнтованого на зловмисника, орієнтованого на програмне забезпечення, орієнтованого на цінність і зацікавлених сторін, а також гібридного. Виходячи з обсягу опублікованого онлайн-контенту, методології, розглянуті нижче, є найбільш відомими.

STRIDE

STRIDE, Patterns and Practices і Asset/entry point були одними з підходів моделювання загроз, розроблених і опублікованих Microsoft. Посилання на методологію Microsoft зазвичай означають STRIDE та діаграми потоку даних.

P.A.S.T.A.

Процес симуляції атак і аналізу загроз (англ. Process for Attack Simulation and Threat Analysis, PASTA) — це семиетапна ризик-орієнтована методологія. Він забезпечує семиетапний процес для узгодження бізнес-цілей і технічних вимог, враховуючи проблеми відповідності та бізнес-аналіз. Метою методу є забезпечення динамічного процесу ідентифікації загроз, підрахунку та оцінки. Після того, як модель загроз завершена, експерти з питань безпеки розробляють детальний аналіз виявлених загроз. Нарешті, можна перерахувати відповідні засоби контролю безпеки. Ця методологія призначена для надання орієнтованого на зловмисника погляду програми та інфраструктури, на основі якого захисники можуть розробити стратегію пом'якшення, орієнтовану на активи.

Trike

У центрі уваги методології Trike — використання моделей загроз як інструменту управління ризиками. У цій структурі моделі загроз використовуються для задоволення процесу аудиту безпеки. Моделі загроз базуються на «моделі вимог». Модель вимог встановлює визначений зацікавленою стороною «прийнятний» рівень ризику для кожного класу активів. Аналіз моделі вимог дає модель загроз, на основі якої загрози перераховуються та призначаються значення ризику. Завершена модель загрози використовується для побудови моделі ризику на основі активів, ролей, дій і розрахованого ризику.

VAST

Методологія Visual, Agile and Simple Threat (VAST) базується на ThreatModeler, комерційній автоматизованій платформі моделювання загроз. Для VAST потрібно створити два типи моделей: моделі загроз застосунків і моделі операційних загроз. Моделі загроз застосунків використовують діаграми процесів, що представляють архітектурну точку зору. Операційні моделі загроз створюються з точки зору зловмисника на основі DFD. Цей підхід дозволяє інтегрувати VAST у життєві цикли розробки організації та DevOps.

Гібридний метод моделювання загроз

Дослідники створили цей метод, щоб поєднати позитивні елементи різних методологій. Ця методологія поєднує в собі різні методології, зокрема SQUARE і Security Cards і Personae Non Gratae.

Загальноприйняті процеси моделювання ІТ-загроз

Усі процеси моделювання загроз, пов'язані з ІТ, починаються зі створення візуального представлення програми та/або інфраструктури, що аналізується. Додаток/інфраструктура розбивається на різні елементи, щоб допомогти в аналізі. Після завершення візуальне представлення використовується для ідентифікації та перерахування потенційних загроз. Подальший аналіз моделі щодо ризиків, пов'язаних із ідентифікованими загрозами, встановлення пріоритетів загроз та перелік відповідних заходів контролю залежить від методологічної основи процесу моделі загроз, що використовується. Ідентифікація та перерахування загроз (або цілей пом'якшення) можуть бути здійснені або орієнтованим на атаку, або орієнтованим на активи способом. Перший зосереджується на типах можливих атак, які потрібно пом'якшити, тоді як другий зосереджується на активах, які потрібно захистити.

Візуальні представлення на основі діаграм потоків даних

image

Методологія Microsoft, PASTA та Trike розробляють візуальне представлення інфраструктури програми за допомогою діаграм потоків даних (DFD). DFD були розроблені в 1970-х роках як інструмент для системних інженерів, щоб повідомляти на високому рівні, як програма спричинила потік даних, їх зберігання та маніпулювання інфраструктурою, на якій працює програма. Традиційно DFD використовують лише чотири унікальні символи: потоки даних, сховища даних, процеси та інтерактори. На початку 2000-х років було додано додатковий символ, межі довіри, щоб дозволити використовувати DFD для моделювання загроз.

Після того, як система прикладної інфраструктури розкладається на п'ять елементів, експерти з безпеки розглядають кожну ідентифіковану точку входу загрози проти всіх відомих категорій загроз. Після виявлення потенційних загроз можна перерахувати пом'якшувальні заходи безпеки або виконати додатковий аналіз.

Інструменти моделювання загроз

  • Безкоштовний інструмент Threat Modeling Tool від Microsoft (раніше SDL Threat Modeling Tool) також використовує методологію моделювання загроз Microsoft, базується на DFD і ідентифікує загрози на основі системи класифікації загроз STRIDE. В основному він призначений для загального використання.
  • IriusRisk надає як версію для спільноти, так і комерційну версію інструменту. Цей інструмент зосереджений на створенні та підтримці живої моделі загроз у SDLC. Він керує процесом, використовуючи повністю настроювані анкети та бібліотеки моделей ризиків, а також підключається до кількох інших інструментів (OWASP ZAP, BDD-Security, Threadfix) для забезпечення автоматизації.
  • securiCAD — це інструмент моделювання загроз та управління ризиками від скандинавської компанії foreseeti. Він призначений для управління кібербезпекою підприємства, від CISO до інженера з безпеки, включаючи техніка. securiCAD виконує автоматичне моделювання атак на поточні та майбутні ІТ-архітектури, визначає та кількісно оцінює ризики в усьому світі, включаючи структурні вразливості, і забезпечує підтримку прийняття рішень на основі результатів. securiCAD доступний у комерційній версії та версії для.
  • SD Elements від Security Compass — це платформа керування вимогами до безпеки програмного забезпечення, яка включає можливості автоматичного моделювання загроз. Набір загроз створюється шляхом заповнення короткої анкети щодо технічних деталей програми та факторів відповідності. Контрзаходи включені у формі практичних завдань для розробників, які можна відстежувати та керувати ними в SDLC.
  • OWASP Threat Dragon — це інструмент моделювання, який використовується для створення діаграм моделі загроз у рамках безпечного життєвого циклу розробки. Threat Dragon дотримується цінностей і принципів маніфесту моделювання загроз. Його можна використовувати для реєстрації можливих загроз і прийняття рішень щодо їх пом'якшення, а також для надання візуальної індикації компонентів моделі загроз і поверхонь загроз. Threat Dragon працює як веб-програма або як настільна програма. Threat Dragon підтримує STRIDE / LINDDUN / CIA / DIE / PLOT4ai, надає діаграми моделювання та реалізує механізм правил для автоматичного створення загроз та їх пом'якшення.
  • OWASP pytm — це каркас Python для моделювання загроз і перший інструмент Threat-Model-as-Code: визначте свою систему на Python за допомогою елементів і властивостей, описаних у структурі pytm, і на основі вашого визначення pytm може створити діаграму потоку даних (DFD), діаграма послідовності та найголовніше, загрози вашій системі.

Подальші сфери застосування

Моделювання загроз застосовується не лише до ІТ, але й до інших областей, таких як транспортні засоби,[en] та [en]. У цьому контексті моделюються загрози безпеці та конфіденційності, як-от інформація про профілі пересування мешканців, робочий час і стан здоров'я, а також фізичні або мережеві атаки. Останні могли б використовувати все більше доступних функцій розумних будівель, таких як датчики (наприклад, щоб стежити за мешканцями) і приводи (наприклад, щоб відчинити двері).

Маніфест моделювання загроз

Маніфест моделювання загроз — це документ, опублікований у 2022 році органами, що займаються моделюванням загроз, щоб чітко визначити основні цінності та принципи, які повинен знати та дотримуватися кожен розробник моделей загроз.

Див. також

Примітки

  1. The STRIDE Threat Model. Microsoft. 2016.
  2. McMillan, Robert (2012). The World's First Computer Password? It Was Useless Too. Wired Business.
  3. (2014). Threat Modeling: Designing for Security. John Wiley & Sons Inc: Indianapolis.
  4. Amoroso, Edward G (1994). Fundamentals of Computer Security Technology. AT&T Bell Labs. Prentice-Hall: Upper Saddle River. ISBN .
  5. Schneier, Bruce та ін. (1998). Toward A Secure System Engineering Methodology (PDF). National Security Agency: Washington.
  6. Alberts, Christopher (2003). Introduction to the OCTAVE® Approach (PDF). Software Engineering Institute, Carnegie Mellon: Pittsburgh.
  7. Stillions, Ryan (2014). The DML Model. Ryan Stillions security blog. Ryan Stillions.
  8. Bromander, Siri (2016). Semantic Cyberthreat Modelling (PDF). Semantic Technology for Intelligence, Defence and Security (STIDS 2016).
  9. Kohnfelder, Loren; Garg, Praerit. Threats to Our Products. Microsoft. Процитовано 20 вересня 2016.
  10. Ucedavélez, Tony and Marco M. Morana (2015). Risk Centric Threat Modeling: Process for Attack Simulation and Threat Analysis. John Wiley & Sons: Hobekin.
  11. Eddington, Michael, Brenda Larcom, and Eleanor Saitta (2005). Trike v1 Methodology Document. Octotrike.org.
  12. Fruhlinger, Josh (15 квітня 2020). Threat modeling explained: A process for anticipating cyber attacks. CSO Online (англ.). Процитовано 3 лютого 2022.
  13. Threat Modeling: 12 Available Methods. SEI Blog (англ.). Процитовано 3 лютого 2022.
  14. The Hybrid Threat Modeling Method.
  15. A Hybrid Threat Modeling Method.
  16. Tarandach, Izar; Coles, Matthew J. (24 листопада 2020). Threat Modeling: A Practical Guide for Development Teams. ISBN .
  17. Security Quality Requirements Engineering Technical Report.
  18. https://securitycards.cs.washington.edu/
  19. CSDL | IEEE Computer Society.
  20. «What's New with Microsoft Threat Modeling Tool 2016». Microsoft Secure Blog. Microsoft. 2015.
  21. «Irius Risk Risk Management Tool». Continuum Security. 2016.
  22. . foreseeti.com. Архів оригіналу за 27 березня 2023. Процитовано 27 листопада 2018.
  23. «Cyber Threat Modelling and Risk Management — securiCAD by foreseeti». foreseeti.
  24. «SD Elements by Security Compass». www.securitycompass.com. Retrieved 2017-03-24.
  25. «OWASP Threat Dragon».
  26. «OWASP pytm».
  27. http://publications.lib.chalmers.se/records/fulltext/252083/local_252083.pdf
  28. Hamad, Mohammad; Prevelakis, Vassilis; Nolte, Marcus (листопад 2016). Towards Comprehensive Threat Modeling for Vehicles (PDF). "Institute of Control Engineering". Publications Institute of Computer and Network Engineering. doi:10.24355/dbbs.084-201806251532-0. Процитовано 11 березня 2019.
  29. Meyer, D.; Haase, J.; Eckert, M.; Klauer, B. (1 липня 2016). A threat-model for building and home automation. 2016 IEEE 14th International Conference on Industrial Informatics (INDIN). с. 860—866. doi:10.1109/INDIN.2016.7819280. ISBN .
  30. https://www.threatmodelingmanifesto.org//

Вікіпедія, Українська, Україна, книга, книги, бібліотека, стаття, читати, завантажити, безкоштовно, безкоштовно завантажити, mp3, відео, mp4, 3gp, jpg, jpeg, gif, png, малюнок, музика, пісня, фільм, книга, гра, ігри, мобільний, телефон, android, ios, apple, мобільний телефон, samsung, iphone, xiomi, xiaomi, redmi, honor, oppo, nokia, sonya, mi, ПК, web, Інтернет

Modelyuvannya zagroz ce proces za dopomogoyu yakogo potencijni zagrozi taki yak en abo vidsutnist vidpovidnih garantij mozhut buti identifikovani ta pererahovani a takozh mozhut buti viznacheni prioriteti kontrzahodiv Meta modelyuvannya zagroz polyagaye v tomu shob nadati zahisnikam sistematichnij analiz togo yaki zasobi kontrolyu abo zahistu neobhidno vklyuchiti vrahovuyuchi prirodu sistemi profil jmovirnogo zlovmisnika najbilsh jmovirni vektori ataki ta aktivi najbilsh bazhani dlya zlovmisnika Modelyuvannya zagroz vidpovidaye na taki zapitannya yak De ya najbilsh vrazlivij do atak Yaki zagrozi najbilsh aktualni i Sho meni potribno zrobiti shob zahistitisya vid cih zagroz Evolyuciya modelyuvannya zagroz u ITNevdovzi pislya togo yak spilni obchislennya debyutuvali na pochatku 1960 h rokiv lyudi pochali shukati sposobi vikoristannya vrazlivostej bezpeki dlya osobistoyi vigodi U rezultati inzheneri ta komp yuterniki nezabarom pochali rozroblyati koncepciyi modelyuvannya zagroz dlya sistem informacijnih tehnologij Ranni metodi modelyuvannya zagroz na osnovi IT bazuvalisya na koncepciyi arhitekturnih shabloniv vpershe predstavlenij en u 1977 roci U 1988 roci Robert Barnard rozrobiv i uspishno zastosuvav pershij profil atakuyuchogo dlya IT sistemi U 1994 roci Edvard Amorozo visunuv koncepciyu dereva zagroz u svoyij knizi Osnovi tehnologiyi komp yuternoyi bezpeki Koncepciya dereva zagroz bula zasnovana na diagramah dereva rishen Dereva zagroz grafichno predstavlyayut yak mozhna vikoristati potencijnu zagrozu IT sistemi Nezalezhno podibnu robotu proveli NSA i DARPA nad strukturovanim grafichnim predstavlennyam togo yak mozhut buti vikonani konkretni ataki na IT sistemi Otrimane predstavlennya bulo nazvano U 1998 roci Bryus Shnajer opublikuvav svij analiz kiberrizikiv vikoristovuyuchi dereva atak u svoyij statti pid nazvoyu Do metodologiyi rozrobki bezpechnih sistem Stattya viyavilasya fundamentalnim vneskom v evolyuciyu modelyuvannya zagroz dlya IT sistem V analizi Shnajyera meta zlovmisnika predstavlena yak korenevij vuzol a potencijni zasobi dosyagnennya meti predstavleni yak listovi vuzli Vikoristannya dereva atak takim chinom dozvolilo fahivcyam z kiberbezpeki sistematichno rozglyadati chislenni vektori atak proti bud yakoyi viznachenoyi cili U 1999 roci fahivci z kiberbezpeki Microsoft en i Prerit Garg rozrobili model dlya rozglyadu atak pov yazanih iz seredovishem rozrobki Microsoft Windows en ye akrovirshem dlya Pidrobka identifikacijnoyi informaciyi angl Spoofing identity Vtruchannya v dani angl Tampering with data Vidmova angl Repudiation Rozgoloshennya informaciyi angl Information disclosure Vidmova v obslugovuvanni angl Denial of service Pidvishennya privileyiv angl Elevation of privilege Otrimana mnemonika dopomagaye fahivcyam iz bezpeki sistematichno viznachati yak potencijnij zlovmisnik mozhe vikoristati bud yaku zagrozu vklyuchenu v STRIDE U 2003 roci metodologiya modelyuvannya zagroz OCTAVE Operationally Critical Threat Asset and Vulnerability Evaluation oriyentovana na operaciyi bula predstavlena z akcentom na organizacijnomu upravlinni rizikami U 2004 roci Frenk Sviderski ta en napisali Modelyuvannya zagroz u vidavnictvi Microsoft U nomu voni rozrobili koncepciyu vikoristannya modelej zagroz dlya stvorennya bezpechnih program U 2014 roci Rajan Stilions visloviv ideyu pro te sho kiberzagrozi povinni buti virazheni riznimi semantichnimi rivnyami i zaproponuvav model DML Detection Maturity Level Ataka ce vtilennya scenariyu zagrozi sprichinenogo konkretnim zlovmisnikom iz pevnoyu metoyu ta strategiyeyu dosyagnennya ciyeyi meti Cil i strategiya predstavlyayut najvishi semantichni rivni modeli DML Dali sliduyut TTP taktika tehnika ta proceduri yaki predstavlyayut promizhni semantichni rivni Najnizhchimi semantichnimi rivnyami modeli DML ye instrumenti yaki vikoristovuye zlovmisnik host i sposterezhuvani merezhevi artefakti taki yak paketi ta korisni dani i nareshti atomarni indikatori taki yak IP adresi na najnizhchomu semantichnomu rivni Potochni instrumenti SIEM zazvichaj nadayut indikatori lishe na najnizhchih semantichnih rivnyah Tomu isnuye potreba v rozrobci instrumentiv SIEM yaki mozhut nadavati indikatori zagroz na vishih semantichnih rivnyah Metodologiyi modelyuvannya zagroz dlya cilej ITKonceptualno praktika modelyuvannya zagroz vitikaye z metodologiyi Dlya vprovadzhennya dostupni chislenni metodologiyi modelyuvannya zagroz Yak pravilo modelyuvannya zagroz vprovadzhuyetsya za dopomogoyu odnogo z p yati pidhodiv nezalezhno oriyentovanogo na aktivi oriyentovanogo na zlovmisnika oriyentovanogo na programne zabezpechennya oriyentovanogo na cinnist i zacikavlenih storin a takozh gibridnogo Vihodyachi z obsyagu opublikovanogo onlajn kontentu metodologiyi rozglyanuti nizhche ye najbilsh vidomimi STRIDE STRIDE Patterns and Practices i Asset entry point buli odnimi z pidhodiv modelyuvannya zagroz rozroblenih i opublikovanih Microsoft Posilannya na metodologiyu Microsoft zazvichaj oznachayut STRIDE ta diagrami potoku danih P A S T A Proces simulyaciyi atak i analizu zagroz angl Process for Attack Simulation and Threat Analysis PASTA ce semietapna rizik oriyentovana metodologiya Vin zabezpechuye semietapnij proces dlya uzgodzhennya biznes cilej i tehnichnih vimog vrahovuyuchi problemi vidpovidnosti ta biznes analiz Metoyu metodu ye zabezpechennya dinamichnogo procesu identifikaciyi zagroz pidrahunku ta ocinki Pislya togo yak model zagroz zavershena eksperti z pitan bezpeki rozroblyayut detalnij analiz viyavlenih zagroz Nareshti mozhna pererahuvati vidpovidni zasobi kontrolyu bezpeki Cya metodologiya priznachena dlya nadannya oriyentovanogo na zlovmisnika poglyadu programi ta infrastrukturi na osnovi yakogo zahisniki mozhut rozrobiti strategiyu pom yakshennya oriyentovanu na aktivi Trike U centri uvagi metodologiyi Trike vikoristannya modelej zagroz yak instrumentu upravlinnya rizikami U cij strukturi modeli zagroz vikoristovuyutsya dlya zadovolennya procesu auditu bezpeki Modeli zagroz bazuyutsya na modeli vimog Model vimog vstanovlyuye viznachenij zacikavlenoyu storonoyu prijnyatnij riven riziku dlya kozhnogo klasu aktiviv Analiz modeli vimog daye model zagroz na osnovi yakoyi zagrozi pererahovuyutsya ta priznachayutsya znachennya riziku Zavershena model zagrozi vikoristovuyetsya dlya pobudovi modeli riziku na osnovi aktiviv rolej dij i rozrahovanogo riziku VAST Metodologiya Visual Agile and Simple Threat VAST bazuyetsya na ThreatModeler komercijnij avtomatizovanij platformi modelyuvannya zagroz Dlya VAST potribno stvoriti dva tipi modelej modeli zagroz zastosunkiv i modeli operacijnih zagroz Modeli zagroz zastosunkiv vikoristovuyut diagrami procesiv sho predstavlyayut arhitekturnu tochku zoru Operacijni modeli zagroz stvoryuyutsya z tochki zoru zlovmisnika na osnovi DFD Cej pidhid dozvolyaye integruvati VAST u zhittyevi cikli rozrobki organizaciyi ta DevOps Gibridnij metod modelyuvannya zagroz Doslidniki stvorili cej metod shob poyednati pozitivni elementi riznih metodologij Cya metodologiya poyednuye v sobi rizni metodologiyi zokrema SQUARE i Security Cards i Personae Non Gratae Zagalnoprijnyati procesi modelyuvannya IT zagrozUsi procesi modelyuvannya zagroz pov yazani z IT pochinayutsya zi stvorennya vizualnogo predstavlennya programi ta abo infrastrukturi sho analizuyetsya Dodatok infrastruktura rozbivayetsya na rizni elementi shob dopomogti v analizi Pislya zavershennya vizualne predstavlennya vikoristovuyetsya dlya identifikaciyi ta pererahuvannya potencijnih zagroz Podalshij analiz modeli shodo rizikiv pov yazanih iz identifikovanimi zagrozami vstanovlennya prioritetiv zagroz ta perelik vidpovidnih zahodiv kontrolyu zalezhit vid metodologichnoyi osnovi procesu modeli zagroz sho vikoristovuyetsya Identifikaciya ta pererahuvannya zagroz abo cilej pom yakshennya mozhut buti zdijsneni abo oriyentovanim na ataku abo oriyentovanim na aktivi sposobom Pershij zoseredzhuyetsya na tipah mozhlivih atak yaki potribno pom yakshiti todi yak drugij zoseredzhuyetsya na aktivah yaki potribno zahistiti Vizualni predstavlennya na osnovi diagram potokiv danih Metodologiya Microsoft PASTA ta Trike rozroblyayut vizualne predstavlennya infrastrukturi programi za dopomogoyu diagram potokiv danih DFD DFD buli rozrobleni v 1970 h rokah yak instrument dlya sistemnih inzheneriv shob povidomlyati na visokomu rivni yak programa sprichinila potik danih yih zberigannya ta manipulyuvannya infrastrukturoyu na yakij pracyuye programa Tradicijno DFD vikoristovuyut lishe chotiri unikalni simvoli potoki danih shovisha danih procesi ta interaktori Na pochatku 2000 h rokiv bulo dodano dodatkovij simvol mezhi doviri shob dozvoliti vikoristovuvati DFD dlya modelyuvannya zagroz Pislya togo yak sistema prikladnoyi infrastrukturi rozkladayetsya na p yat elementiv eksperti z bezpeki rozglyadayut kozhnu identifikovanu tochku vhodu zagrozi proti vsih vidomih kategorij zagroz Pislya viyavlennya potencijnih zagroz mozhna pererahuvati pom yakshuvalni zahodi bezpeki abo vikonati dodatkovij analiz Instrumenti modelyuvannya zagrozBezkoshtovnij instrument Threat Modeling Tool vid Microsoft ranishe SDL Threat Modeling Tool takozh vikoristovuye metodologiyu modelyuvannya zagroz Microsoft bazuyetsya na DFD i identifikuye zagrozi na osnovi sistemi klasifikaciyi zagroz STRIDE V osnovnomu vin priznachenij dlya zagalnogo vikoristannya IriusRisk nadaye yak versiyu dlya spilnoti tak i komercijnu versiyu instrumentu Cej instrument zoseredzhenij na stvorenni ta pidtrimci zhivoyi modeli zagroz u SDLC Vin keruye procesom vikoristovuyuchi povnistyu nastroyuvani anketi ta biblioteki modelej rizikiv a takozh pidklyuchayetsya do kilkoh inshih instrumentiv OWASP ZAP BDD Security Threadfix dlya zabezpechennya avtomatizaciyi securiCAD ce instrument modelyuvannya zagroz ta upravlinnya rizikami vid skandinavskoyi kompaniyi foreseeti Vin priznachenij dlya upravlinnya kiberbezpekoyu pidpriyemstva vid CISO do inzhenera z bezpeki vklyuchayuchi tehnika securiCAD vikonuye avtomatichne modelyuvannya atak na potochni ta majbutni IT arhitekturi viznachaye ta kilkisno ocinyuye riziki v usomu sviti vklyuchayuchi strukturni vrazlivosti i zabezpechuye pidtrimku prijnyattya rishen na osnovi rezultativ securiCAD dostupnij u komercijnij versiyi ta versiyi dlya SD Elements vid Security Compass ce platforma keruvannya vimogami do bezpeki programnogo zabezpechennya yaka vklyuchaye mozhlivosti avtomatichnogo modelyuvannya zagroz Nabir zagroz stvoryuyetsya shlyahom zapovnennya korotkoyi anketi shodo tehnichnih detalej programi ta faktoriv vidpovidnosti Kontrzahodi vklyucheni u formi praktichnih zavdan dlya rozrobnikiv yaki mozhna vidstezhuvati ta keruvati nimi v SDLC OWASP Threat Dragon ce instrument modelyuvannya yakij vikoristovuyetsya dlya stvorennya diagram modeli zagroz u ramkah bezpechnogo zhittyevogo ciklu rozrobki Threat Dragon dotrimuyetsya cinnostej i principiv manifestu modelyuvannya zagroz Jogo mozhna vikoristovuvati dlya reyestraciyi mozhlivih zagroz i prijnyattya rishen shodo yih pom yakshennya a takozh dlya nadannya vizualnoyi indikaciyi komponentiv modeli zagroz i poverhon zagroz Threat Dragon pracyuye yak veb programa abo yak nastilna programa Threat Dragon pidtrimuye STRIDE LINDDUN CIA DIE PLOT4ai nadaye diagrami modelyuvannya ta realizuye mehanizm pravil dlya avtomatichnogo stvorennya zagroz ta yih pom yakshennya OWASP pytm ce karkas Python dlya modelyuvannya zagroz i pershij instrument Threat Model as Code viznachte svoyu sistemu na Python za dopomogoyu elementiv i vlastivostej opisanih u strukturi pytm i na osnovi vashogo viznachennya pytm mozhe stvoriti diagramu potoku danih DFD diagrama poslidovnosti ta najgolovnishe zagrozi vashij sistemi Podalshi sferi zastosuvannyaModelyuvannya zagroz zastosovuyetsya ne lishe do IT ale j do inshih oblastej takih yak transportni zasobi en ta en U comu konteksti modelyuyutsya zagrozi bezpeci ta konfidencijnosti yak ot informaciya pro profili peresuvannya meshkanciv robochij chas i stan zdorov ya a takozh fizichni abo merezhevi ataki Ostanni mogli b vikoristovuvati vse bilshe dostupnih funkcij rozumnih budivel takih yak datchiki napriklad shob stezhiti za meshkancyami i privodi napriklad shob vidchiniti dveri Manifest modelyuvannya zagrozManifest modelyuvannya zagroz ce dokument opublikovanij u 2022 roci organami sho zajmayutsya modelyuvannyam zagroz shob chitko viznachiti osnovni cinnosti ta principi yaki povinen znati ta dotrimuvatisya kozhen rozrobnik modelej zagroz Div takozhRizik informacijna bezpeka PrimitkiThe STRIDE Threat Model Microsoft 2016 McMillan Robert 2012 The World s First Computer Password It Was Useless Too Wired Business 2014 Threat Modeling Designing for Security John Wiley amp Sons Inc Indianapolis Amoroso Edward G 1994 Fundamentals of Computer Security Technology AT amp T Bell Labs Prentice Hall Upper Saddle River ISBN 9780131089297 Schneier Bruce ta in 1998 Toward A Secure System Engineering Methodology PDF National Security Agency Washington Alberts Christopher 2003 Introduction to the OCTAVE Approach PDF Software Engineering Institute Carnegie Mellon Pittsburgh Stillions Ryan 2014 The DML Model Ryan Stillions security blog Ryan Stillions Bromander Siri 2016 Semantic Cyberthreat Modelling PDF Semantic Technology for Intelligence Defence and Security STIDS 2016 Kohnfelder Loren Garg Praerit Threats to Our Products Microsoft Procitovano 20 veresnya 2016 Ucedavelez Tony and Marco M Morana 2015 Risk Centric Threat Modeling Process for Attack Simulation and Threat Analysis John Wiley amp Sons Hobekin Eddington Michael Brenda Larcom and Eleanor Saitta 2005 Trike v1 Methodology Document Octotrike org Fruhlinger Josh 15 kvitnya 2020 Threat modeling explained A process for anticipating cyber attacks CSO Online angl Procitovano 3 lyutogo 2022 Threat Modeling 12 Available Methods SEI Blog angl Procitovano 3 lyutogo 2022 The Hybrid Threat Modeling Method A Hybrid Threat Modeling Method Tarandach Izar Coles Matthew J 24 listopada 2020 Threat Modeling A Practical Guide for Development Teams ISBN 978 1492056553 Security Quality Requirements Engineering Technical Report https securitycards cs washington edu CSDL IEEE Computer Society What s New with Microsoft Threat Modeling Tool 2016 Microsoft Secure Blog Microsoft 2015 Irius Risk Risk Management Tool Continuum Security 2016 foreseeti com Arhiv originalu za 27 bereznya 2023 Procitovano 27 listopada 2018 Cyber Threat Modelling and Risk Management securiCAD by foreseeti foreseeti SD Elements by Security Compass www securitycompass com Retrieved 2017 03 24 OWASP Threat Dragon OWASP pytm http publications lib chalmers se records fulltext 252083 local 252083 pdf Hamad Mohammad Prevelakis Vassilis Nolte Marcus listopad 2016 Towards Comprehensive Threat Modeling for Vehicles PDF Institute of Control Engineering Publications Institute of Computer and Network Engineering doi 10 24355 dbbs 084 201806251532 0 Procitovano 11 bereznya 2019 Meyer D Haase J Eckert M Klauer B 1 lipnya 2016 A threat model for building and home automation 2016 IEEE 14th International Conference on Industrial Informatics INDIN s 860 866 doi 10 1109 INDIN 2016 7819280 ISBN 978 1 5090 2870 2 https www threatmodelingmanifesto org

Дата публікації:
Топ