Использование модели угроз для поиска потенциальных векторов атак
При определении векторов атак необходимо придерживаться процедуры моделирования угроз, начиная с создания DFD. Как только потенциальные векторы атаки определены, трактаты синоби рекомендуют проверить их и определить, какие технические меры безопасности можно реализовать для организации защиты. Затем, если есть нужда, для защиты этих областей можно задействовать охранников. Вы можете использовать карту сети, составленную в предыдущей главе, чтобы на ее основе создать DFD, или непосредственно по ней найти векторы атак.
1. Смоделируйте свои информационные системы. Создайте точную DFD на основе информации о сети вашей организации при содействии отделов безопасности, разработки, бизнеса, других заинтересованных лиц и экспертов по ИТ-системам. Необязательно использовать унифицированный язык моделирования (Unified Modeling Language, UML) или другой сложный инструмент. Достаточно лишь точно представить систему и информацию о ней. Обратите внимание на то, что создание схем больших и сложных систем иногда может занять у команды более шести месяцев.
2. STRIDE и защита. STRIDE — это методология моделирования угроз, разработанная Microsoft [1] для описания того, что в информационной системе может пойти не так. Аббревиатура составлена из названий того, что злоумышленник может совершить с вашей системой.
|
Spoofing identify (подделка идентичности) |
= |
Аутентификация |
|
Тampering with data (порча данных) |
= |
Целостность |
|
Repudation/deniability (отказ) |
= |
Безотказность |
|
Information disclosure (раскрытие информации) |
= |
Конфиденциальность |
|
Denial of service (отказ в обслуживании) |
= |
Доступность |
|
Elevetion of privilege (получение привилегий) |
= |
Авторизация |
именно она делает: шифрует, удаляет или повреждает данные? Сценарий не описывает, через какие векторы угроза может воздействовать на систему, не учитывается поток информации и имеющиеся средства контроля, не предоставляются реалистичные меры противодействия. Если, например, мы определили, что наиболее вероятным способом заражения внутренней бизнес-базы данных вредоносным ПО будет USB-накопитель, то отдел безопасности может разработать политику, подробно описывающую, как сотрудники должны использовать USB-накопители, или установить камеры для отслеживания доступа к USB-портам. Организация может дать отделу безопасности возможность включать или выключать USB, определять, какие диски могут взаимодействовать с USB, управлять потоком информации через USB-порты, проверять файлы на USB-накопителях перед предоставлением доступа, управлять доступом с помощью аппаратной или программной блокировки или вообще залить порты USB эпоксидной смолой. Такие меры, будучи результатом тщательного моделирования угроз, позволяют сотрудникам службы безопасности полноценно защищаться от конкретных угроз, а не считать риск допустимым и не ограничиваться функциями защиты и обнаружения.
3. Не распространяйтесь о предпринимаемых мерах безопасности. Моделирование угроз - это итеративный бесконечный процесс оценки новых угроз и разработки защитных контрмер. Разрабатывая способы защиты систем, избегайте использования синоби-гаэси, то есть того, что явно привлекает внимание к уязвимым областям. Часто из-за ограничений во времени, ресурсах или из-за общей занятости вводится лишь часть мер безопасности, которые мотивированный и хитроумный злоумышленник способен обойти. Например, эпоксидную смолу из USB-порта можно удалить с помощью изопропилового спирта. По возможности оцените жизнеспособность ориентированного на безопасность защитного подхода.
В примере с атакой через USB сам интерфейс USB работает на аппаратном уровне абстракции (hardware abstraction layer, HAL), который находится ниже ядра ОС. Этот уровень нельзя полностью защитить с помощью программного обеспечения и программных политик, поскольку они существуют над ядром и их можно обойти. Следовательно, комплексным решением может быть использование материнской платы и корпуса, в которых USB-портов вообще нет. Эпоксидная смола в USB-порте напрямую сообщает мотивированным злоумышленникам, что вы недостаточно хорошо поразмыслили над должной безопасностью USB-устройств и, вероятно, здесь легко провести атаку, удалив смолу.
