Моделирование угроз¶

Моделирование угроз — это процесс выявления, документирования и анализа потенциальных угроз информационной безопасности, которым может подвергаться система, приложение или организация, с целью определения приоритетов для мер защиты. Моделирование угроз является одним из ключевых этапов проектирования безопасных систем и управления рисками в области кибербезопасности.

¶Цели и задачи

Основная цель моделирования угроз — сместить акцент с реактивного реагирования на инциденты к проактивному проектированию защиты. Задачи процесса включают:

• идентификацию активов, требующих защиты (данные, оборудование, репутация);
• выявление потенциальных уязвимостей и векторов атак;
• оценку вероятности реализации угроз и потенциального ущерба;
• ранжирование рисков и определение приоритетов для внедрения контрмер;
• документирование принятых решений для аудита и последующего пересмотра.

¶Методологии моделирования угроз

Существует несколько распространённых методологий, различающихся подходами к анализу и формализации процесса.

¶STRIDE

Методология STRIDE, разработанная в корпорации Microsoft, классифицирует угрозы по шести категориям: подделка (Spoofing), модификация (Tampering), отказ от авторства (Repudiation), раскрытие информации (Information disclosure), отказ в обслуживании (Denial of service) и повышение привилегий (Elevation of privilege). Каждая категория рассматривается применительно к каждому компоненту системы, что позволяет систематизировать анализ.

¶DREAD

DREAD — дополнительная модель оценки рисков, применяемая совместно с классификацией. Она оценивает каждую угрозу по пяти критериям: потенциальный ущерб (Damage), воспроизводимость (Reproducibility), эксплуатируемость (Exploitability), затронутые пользователи (Affected users) и обнаруживаемость (Discoverability). Каждому критерию присваивается числовая оценка, на основе которой вычисляется общий балл риска.

¶PASTA

PASTA (Process for Attack Simulation and Threat Analysis) — процессно-ориентированная методология, состоящая из семи этапов: определение целей бизнеса, определение технического контекста, декомпозиция приложения, анализ уязвимостей, анализ угроз, моделирование атак и анализ рисков. PASTA уделяет особое внимание связи угроз с бизнес-рисками.

¶LINDDUN

Методология LINDDUN ориентирована на угрозы конфиденциальности и приватности. Она охватывает такие категории, как связываемость, обнаруживаемость, неотслеживаемость и другие аспекты защиты персональных данных.

¶Этапы процесса

Независимо от выбранной методологии, процесс моделирования угроз обычно включает следующие этапы:

1. Определение границ системы — описание архитектуры, компонентов, потоков данных и доверительных границ.
2. Декомпозиция — разбиение системы на составные части (сервисы, модули, хранилища).
3. Идентификация угроз — применение методологии (например, STRIDE) для поиска потенциальных угроз для каждого компонента.
4. Анализ рисков — оценка вероятности и последствий реализации угроз.
5. Определение контрмер — выбор мер защиты, снижающих риск до приемлемого уровня.
6. Документирование и пересмотр — фиксация результатов и периодическое обновление модели по мере изменения системы.

¶Инструменты

Для автоматизации моделирования угроз используются специализированные программные средства, в том числе:

• Microsoft Threat Modeling Tool — бесплатный инструмент, поддерживающий методологию STRIDE, позволяет создавать диаграммы потоков данных и автоматически генерировать список угроз.
• OWASP Threat Dragon — открытый инструмент для моделирования угроз веб-приложений, поддерживает диаграммы и интеграцию с системами управления проектами.
• IriusRisk — коммерческая платформа, автоматизирующая процесс моделирования и связывающая угрозы с требованиями безопасности и контрмерами.

¶Применение

Моделирование угроз применяется в различных областях: при разработке программного обеспечения (особенно в рамках методологий DevSecOps), проектировании сетевой инфраструктуры, создании облачных сервисов, разработке интернета вещей (IoT) и критически важных информационных систем. В ряде отраслей, таких как финансовый сектор и здравоохранение, моделирование угроз является обязательным требованием регуляторов. В России практика моделирования угроз учитывается при аттестации информационных систем в соответствии с требованиями ФСТЭК России, в том числе при использовании базовой модели угроз безопасности информации.

¶Ограничения

Моделирование угроз не является гарантией полной безопасности. Оно опирается на текущее понимание архитектуры и известные векторы атак, поэтому не способно предсказать все будущие угрозы, включая неизвестные уязвимости нулевого дня. Кроме того, качество результата напрямую зависит от квалификации специалистов и полноты исходных данных об архитектуре системы.