Qu'est-ce que la modélisation des menaces de sécurité? - la modélisation des menaces

La modélisation des menaces est un type d'analyse des risques utilisé pour identifier les défauts de sécurité dans la phase de conception d'un système d'information. La modélisation des menaces est le plus souvent appliquée aux applications logicielles, mais elle peut être utilisée pour les systèmes d'exploitation et les périphériques avec une efficacité égale.

La modélisation des menaces est généralement centrée sur les attaques. La modélisation des menaces est le plus souvent utilisée pour identifier les vulnérabilités qui peuvent être exploitées par un attaquant dans les applications logicielles.

La modélisation des menaces est plus efficace lorsqu'elle est effectuée à la phase de conception d'un système d'information ou d'une application. Lorsque les menaces et leur atténuation sont identifiées lors de la phase de conception, beaucoup d'efforts sont épargnés en évitant les modifications de conception et les correctifs dans un système existant.

Bien qu'il existe différentes approches pour la modélisation des menaces, les étapes typiques sont

• Identification des menaces
• Détermination et schématisation des attaques potentielles
• Exécution de l'analyse de réduction
• Correction des menaces

Identification des menaces

L'identification des menaces est la première étape de la modélisation des menaces. Les menaces sont les actions qu'un intrus peut réussir à exécuter s'il existe des vulnérabilités correspondantes dans l'application ou le système.

Pour les applications logicielles, deux mnémoniques sont utilisées comme aide-mémoire lors de la modélisation des menaces. Ils sont

• STRIDE, une liste de menaces de base (développée par Microsoft):
  • Usurpation de l'identité de l'utilisateur
  • Falsification
  • Répudiation
  • Divulgation de l'information
  • Déni de service
  • Elévation de privilège
• DREAD, une technique plus ancienne utilisée pour évaluer les menaces:
  • Dommages
  • Reproductibilité
  • Exploitabilité
  • Utilisateurs affectés
  • Découvrabilité

Bien que ces mnémoniques eux-mêmes ne le soient pas contiennent des menaces, ils aident l'individu à effectuer une modélisation des menaces, en rappelant à l'individu les catégories de menaces de base (STRIDE) et leur analyse (DREAD).

Les annexes D et E du NIST SP800-30, Guide pour la conduite des évaluations des risques, constituent une bonne source générale de menaces.

Détermination et schématisation des attaques potentielles

Une fois les menaces identifiées, la modélisation des menaces se poursuit par la création de diagrammes illustrant les attaques sur une application ou un système. Un arbre d'attaque peut être développé. Il décrit les étapes nécessaires pour attaquer un système. La figure suivante illustre un arbre d'attaque d'une application bancaire mobile.

Arbre d'attaque pour une application bancaire mobile.

Un arbre d'attaque illustre les étapes utilisées pour attaquer un système cible.

Exécution d'une analyse de réduction

Lorsque vous effectuez une analyse de menace sur une application ou un système complexe, il est probable qu'il y aura de nombreux éléments similaires représentant des duplications de technologie. L'analyse de réduction est une étape optionnelle de la modélisation des menaces pour éviter la duplication des efforts. Il n'est pas logique de passer beaucoup de temps à analyser différents composants dans un environnement s'ils utilisent tous la même technologie et la même configuration.

Voici des exemples typiques:

• Une application contient plusieurs champs de formulaire (dérivés du même code source) qui demandent un numéro de compte bancaire. Comme tous les modules d'entrée de champ utilisent le même code, l'analyse détaillée ne doit être effectuée qu'une seule fois.
• Une application envoie plusieurs types de messages différents via la même connexion TLS. Étant donné que le même certificat et la même connexion sont utilisés, l'analyse détaillée de la connexion TLS ne doit être effectuée qu'une seule fois.

Technologies et processus pour remédier aux menaces

Tout comme dans l'analyse de routine des risques, la prochaine étape de l'analyse des menaces est l'énumération des mesures potentielles visant à atténuer la menace identifiée. Comme la nature des menaces varie considérablement, la correction peut consister en un ou plusieurs des éléments suivants pour chaque risque:

• Modifier le code source (par exemple, ajouter des fonctions pour examiner de près les champs de saisie et filtrer les attaques par injection).
• Modifier la configuration (par exemple, passez à un algorithme de chiffrement plus sécurisé ou expirez plus souvent les mots de passe).
• Modifier le processus métier (par exemple, ajouter ou modifier des étapes d'un processus ou d'une procédure pour enregistrer ou examiner des données clés).
• Changer de personnel (par exemple, assurer une formation, transférer la responsabilité d'une tâche à une autre personne)

Rappelez-vous que les quatre options de traitement des risques sont l'atténuation, le transfert, l'évitement et l'acceptation. Dans le cas de la modélisation des menaces, certaines menaces peuvent être acceptées telles quelles.