Ngày 19 tháng 4 năm 2020 - Máy tính
Mô hình hóa mối đe dọa là một quy trình xác định các mối đe dọa tiềm tàng. Qua việc mô hình hóa mối đe dọa, người ta mong muốn tìm ra chân dung của kẻ tấn công và những lộ trình tấn công có khả năng cao nhất mà chúng sẽ thực hiện, cũng như tài sản dễ bị tấn công nhất. Do đó, mục tiêu chính của việc mô hình hóa mối đe dọa là phát hiện nơi dễ bị tấn công nhất và đề xuất các biện pháp ứng phó phù hợp.
Từ góc độ khái niệm, quá trình này đã tồn tại trong cuộc sống hàng ngày của chúng ta, mặc dù nhiều khi chúng ta không nhận ra điều đó. Ví dụ, khi tránh các thao tác nguy hiểm hoặc chọn đường đi an toàn hơn vào giờ cao điểm để phòng ngừa tai nạn giao thông. Hoặc trẻ em trên sân chơi tìm ra con đường nhanh nhất đến đích để tránh bị bọn bắt nạt truy đuổi. Trong các bối cảnh chính thức hơn, việc mô hình hóa mối đe dọa đã được áp dụng từ thời cổ đại trong chiến lược quân sự để chuẩn bị cho các tình huống phòng thủ.
Sự tiến hóa của việc mô hình hóa mối đe dọa
Có một số bước phát triển quan trọng:
Năm 1999, Microsoft đã giới thiệu mô hình STRIDE nhằm nhận diện các loại tấn công:
- S - Giả mạo danh tính (Spoofing identity)
- T - Chỉnh sửa dữ liệu (Tampering with data)
- R - Phủ nhận hành vi (Repudiation)
- I - Bắt giữ thông tin (Information disclosure)
- D - Từ chối dịch vụ (Denial of service)
- E - Nâng quyền truy cập (Elevation of privilege)
Năm 2014, Ryan đã đề xuất mô hình DML (Detection Maturity Level - Cấp độ trưởng thành của việc phát hiện). Theo mô hình này, kẻ tấn công được coi là một ví dụ cụ thể của một tình huống mối đe dọa. Một tình huống mối đe dọa là khi một kẻ tấn công cụ thể có một mục tiêu tấn công rõ ràng trong đầu và sử dụng nhiều chiến lược khác nhau để đạt được mục tiêu đó. Mục tiêu cùng với các chiến lược đại diện cho cấp độ ngữ nghĩa cao nhất của mô hình DML; TTP (Tactics, Techniques and Procedures - Chiến thuật, kỹ thuật và quy trình) đại diện cho cấp độ ngữ nghĩa trung gian; còn các công cụ mà kẻ tấn công sử dụng đại diện cho cấp độ ngữ nghĩa thấp nhất của mô hình DML.
Các phương pháp mô hình hóa mối đe dọa
Việc mô hình hóa mối đe dọa có thể áp dụng độc lập qua một số phương pháp sau đây: tập trung vào tài sản, tập trung vào kẻ tấn công, và tập trung vào phần mềm. Dưới đây là bốn phương pháp nổi tiếng về mô hình hóa mối đe dọa:
-
STRIDE
Phương pháp do Microsoft đưa ra vào năm 1999 cung cấp một công cụ giúp nhà phát triển xác định “các mối đe dọa mà sản phẩm của họ đang đối mặt”. Từ đó đã phát sinh nhiều mô hình, thực tiễn và biểu đồ luồng dữ liệu khác nhau.
-
P.A.S.T.A.
PASTA (Quy trình mô phỏng tấn công và phân tích mối đe dọa) là một quy trình gồm bảy bước, dựa trên cách tiếp cận lấy rủi ro làm trung tâm. Đây là một quy trình động để nhận diện, liệt kê và đánh giá các mối đe dọa.
-
Trike
Trike là một phương pháp luận xem xét mô hình mối đe dọa như một công cụ quản lý rủi ro.
-
VAST
VAST (Threat modeling trực quan, linh hoạt và đơn giản) là một phương pháp luận tích hợp xuyên suốt chu kỳ phát triển phần Khuyến Mãi 88king mềm (SDLC) và đồng bộ hoàn hảo với phương pháp phát triển phần mềm theo Agile.
Quy trình mô hình hóa mối đe dọa phổ tải game 789win biến
Bước đầu tiên của việc mô hình hóa mối đe dọa là tạo ra một biểu diễn trực quan của ứng dụng và hạ tầng. Việc phân chia ứng dụng và hạ tầng thành các mô-đun khác nhau giúp thuận tiện cho việc phân tích. Sau khi đã hoàn thành việc phân chia và biểu diễn trực quan, có thể bắt đầu nhận diện và liệt kê các mối đe dọa tiềm tàng. Tiếp theo là đánh giá rủi ro xảy ra mối đe dọa và xếp hạng ưu tiên xử lý, từ đó đề xuất các biện pháp ứng phó phù hợp dựa trên các phương pháp khác nhau. Việc nhận diện và liệt kê mối đe dọa có thể thực hiện theo cách tiếp cận lấy kẻ tấn công làm trung tâm hoặc lấy tài sản làm trung tâm. Cách tiếp cận trước tập trung vào việc tìm kiếm các loại tấn công có thể xảy ra để xử lý; cách tiếp cận sau lại chú trọng vào việc bảo vệ các tài sản khỏi bị tấn công. Tất nhiên, mỗi phương pháp đều có ưu và nhược điểm riêng.
Biểu diễn trực quan dựa trên biểu đồ luồng dữ liệu
Các phương pháp mô hình hóa mối đe dọa như STRIDE, PASTA, Trike đều sử dụng DFD (biểu đồ luồng dữ liệu) để biểu diễn trực quan. DFD là một công cụ giúp các kỹ sư hệ thống nhìn tổng quan cách dữ liệu di chuyển, lưu trữ và xử lý trong một ứng dụng. Biểu đồ này có năm ký hiệu đặc trưng: luồng dữ liệu, kho lưu trữ dữ liệu, quá trình, người tương tác và ranh giới niềm tin. Khi một hệ thống được phân chia thành năm phần này, các chuyên gia bảo mật có thể xác định tất cả các loại mối đe dọa đã biết để tìm ra các điểm yếu của hệ thống. Sau khi tìm thấy các mối đe dọa tiềm ẩn, có thể tiến hành phân tích và kiểm soát chúng.
Biểu diễn trực quan dựa trên biểu đồ quy trình
Phương pháp VAST sử dụng một cách tiếp cận khác biệt, phân biệt giữa ATM (mô hình mối đe dọa ứng dụng) và OTM (mô hình mối đe dọa hạ tầng). ATM được tạo ra bằng cách sử dụng PFD (biểu đồ quy trình). Biểu đồ này phân chia ứng dụng thành các đặc tính hoặc trường hợp sử dụng, mỗi đặc tính lại được cấu thành từ các trang và khối mã, cuối cùng các đặc tính được kết nối thông qua giao thức tương tác. Như vậy, biểu đồ quy trình của một ứng dụng giống như một bản đồ chỉ ra cách người dùng di chuyển qua các đặc tính khác nhau.
OTM thì được tạo ra theo kiểu biểu đồ luồng dữ liệu từ đầu đến cuối tương tự như DFD truyền thống. Biểu đồ này phân chia hệ thống thành các thành phần độc lập và chia sẻ, các thành phần này giao tiếp với nhau thông qua các dòng hoặc giao thức.
Sau khi đã xây dựng xong ATM và OTM, có thể bắt đầu nhận diện, liệt kê và xếp hạng các mối đe dọa tiềm tàng, từ đó đánh giá rủi ro và áp dụng các biện pháp kiểm soát an ninh.