搜索

[3429] 2017-01-04_6步教你搞定网络威胁建模

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-01-04_6步教你搞定网络威胁建模 6 步 教 你 搞 定 网 络 威 胁 建 模 原 创   E 安 全   E 安 全   2 0 1 7 - 0 1 - 0 4 当 今 社 会 ， 许 多 组 织 机 构 面 临 前 所 未 有 的 网 络 威 胁 及 内 部 威 胁 ， 其 数 据 存 储 、 处 理 与 传 输 均 存 在 高 危 风 险 。 由 于 存 在 这 些 威 胁 ， 企 业 日 益 关 注 网 络 安 全 ， 使 其 成 为 信 息 系 统 安 全 认 证 专 业 人 员 （ C I S S P 或 C I S P ） 必 需 掌 握 的 概 念 。 即 使 非 常 重 视 保 护 业 务 流 程 安 全 的 企 业 也 可 能 成 为 网 络 犯 罪 的 受 害 者 。 遵 守 狭 隘 的 各 种 标 准 也 许 不 足 以 阻 止 或 检 测 复 杂 的 网 络 攻 击 。 威 胁 建 模 让 企 业 对 最 可 能 影 响 系 统 的 各 种 网 络 威 胁 进 行 系 统 性 识 别 和 评 价 。 有 了 这 些 信 息 ， 您 就 可 以 按 照 一 定 的 逻 辑 顺 序 ， 利 用 适 当 的 对 策 来 处 理 现 存 的 威 胁 ， 并 从 具 有 最 大 风 险 的 威 胁 开 始 。 开 始 开 始 之 前 之 前 开 始 威 胁 建 模 过 程 之 前 ， 我 们 要 了 解 以 下 基 本 概 念 ？ ·   风 险 是 基 于 对 组 织 机 构 构 成 的 威 胁 。 ·   威 胁 关 注 的 是 有 价 值 的 资 源 。 什 么 是 威 胁 建 模 什 么 是 威 胁 建 模 威 胁 建 模 是 一 种 结 构 化 方 法 ， 用 来 识 别 、 量 化 并 应 对 威 胁 。 威 胁 建 模 允 许 系 统 安 全 人 员 传 达 安 全 漏 洞 的 破 坏 力 ， 并 按 轻 重 缓 急 实 施 补 救 措 施 。   威 胁 建 模 主 要 包 括 三 大 主 要 元 素 ：
1 .   资 产 ： 资 产 ： 应 保 护 哪 些 有 价 值 的 数 据 和 设 备 ？ 2 .   威 胁 ： 威 胁 ： 攻 击 者 可 能 对 系 统 实 施 的 行 为 ？ 3 .   漏 洞 ： 漏 洞 ： 有 哪 些 漏 洞 让 攻 击 者 对 系 统 构 成 威 胁 ？ 组 织 机 构 内 部 ， 不 同 层 次 组 织 结 构 和 环 境 要 应 对 的 威 胁 大 不 相 同 。 威 胁 目 标 有 三 个 主 要 层 次 ： ·   网 络 ： 网 络 ： 此 威 胁 包 括 假 冒 、 恶 意 数 据 包 等 。 ·   主 机 ： 主 机 ： 此 威 胁 包 括 缓 冲 区 溢 出 、 恶 意 文 件 等 。 ·   应 用 程 序 ： 应 用 程 序 ： 此 威 胁 包 括 S Q L 注 入 、 X S S 、 输 入 篡 改 等 。 谁 负 责 威 胁 模 型 ， 何 时 执 行 ？ 谁 负 责 威 胁 模 型 ， 何 时 执 行 ？ 理 想 情 况 下 ， 在 系 统 设 计 过 程 中 （ 部 署 之 前 ） 创 建 威 胁 模 型 。 在 实 践 中 ， 通 常 是 为 现 有 系 统 创 建 威 胁 模 型 ， 使 其 成 为 维 护 的 一 部 分 。 安 全 经 验 丰 富 的 系 统 设 计 人 员 最 有 资 格 识 别 威 胁 。 威 胁 建 模 步 骤 威 胁 建 模 步 骤 1 .   识 别 资 产 2 .   描 述 架 构 3 .   分 解 应 用 程 序 4 .   识 别 威 胁 5 .   归 档 并 分 类 威 胁 6 .   评 价 威 胁 1 、 识 别 资 产 ： 、 识 别 资 产 ：   识 别 对 组 织 机 构 具 有 价 值 的 潜 在 资 产 ： ·   入 口 和 出 口 点 ·   系 统 资 产 和 资 源 ·   信 任 级 别 （ 访 问 类 别 ） 2 、 描 述 架 构 ： 、 描 述 架 构 ： 在 这 个 过 程 中 ， 描 述 处 理 价 值 资 产 的 架 构 ， 可 能 包 括 软 件 架 构 、 版 本 和 其 它 架 构 详 情 。
3 、 分 解 应 用 程 序 ： 、 分 解 应 用 程 序 ： 分 解 与 过 程 有 关 的 应 用 程 序 ， 所 有 运 行 应 用 程 序 的 子 过 程 。 4 、 识 别 威 胁 ： 、 识 别 威 胁 ： 以 描 述 方 式 罗 列 威 胁 ， 以 便 审 核 ， 作 进 一 步 处 理 。 5 、 将 威 胁 分 类 ： 、 将 威 胁 分 类 ： 按 照 预 定 义 分 类 对 威 胁 进 行 分 类 ， 预 定 义 分 类 如 下 ： ·   假 冒 身 份 ·   篡 改 数 据 ·   否 认 ·   信 息 泄 露 ·   拒 绝 服 务 ·   特 权 提 升 评 价 评 价 威 胁 威 胁 通 过 M i c r o s o f t 的 D R E A D 模 型 对 威 胁 的 严 重 性 进 行 评 价 ： ·   破 坏 潜 力 ： 破 坏 潜 力 ： 如 果 漏 洞 被 利 用 ， 损 失 有 多 大 ？ ·   再 现 性 ： 再 现 性 ：   重 复 被 利 用 的 难 度 有 多 大 ？ ·   可 利 用 性 ： 可 利 用 性 ： 漏 洞 被 利 用 的 难 度 有 多 大 ？ ·   受 影 响 的 用 户 ： 受 影 响 的 用 户 ： 多 少 用 户 可 能 受 到 影 响 ？ ·   可 发 现 性 ： 可 发 现 性 ： 漏 洞 容 易 被 发 现 吗 ？ 例 子 ： 例 子 ： 某 公 司 具 有 数 据 收 集 W e b 应 用 程 序 ， 允 许 用 户 登 录 ， 访 问 或 修 改 个 人 数 据 。 此 应 用 程 序 收 集 的 信 息 如 下 ： 架 构 ： 架 构 ： ·   W e b 应 用 程 序 — — A S P . N e t
·   数 据 库 — — S Q L 服 务 器 2 0 0 0 资 产 ： 资 产 ： ·   用 户 登 录 凭 证 ·   用 户 个 人 信 息 ·   行 政 资 源 ·   系 统 硬 件 微 软 威 胁 报 告 模 板 ： 微 软 威 胁 报 告 模 板 ： ·   I D   –   威 胁 的 唯 一 I D   # ·   名 称 名 称   –   资 产 威 胁 的 简 短 名 称 ·   描 述 描 述   –   威 胁 及 其 重 要 性 的 详 细 描 述 ·   S T R I D E   –   如 何 对 威 胁 进 行 分 类 ？ ·   缓 解 缓 解 –   应 用 程 序 是 否 有 威 胁 ？ ·   已 知 缓 解 已 知 缓 解   – 如 何 免 遭 威 胁 ？ ·   调 查 说 明 调 查 说 明 –   目 前 对 威 胁 的 了 解 有 多 少 ？ ·   入 口 点 入 口 点 –   对 手 可 能 采 取 的 手 段 有 哪 些 ？ ·   资 产 资 产 –   哪 些 资 产 可 能 会 被 损 坏 ？ ·   威 胁 树 威 胁 树 –   如 何 将 威 胁 形 象 化 ？ （ 可 选 ） 威 胁 描 述 ： 威 胁 描 述 ： I D :   1 ·   名 称 ：   L o g i n   S u b v e r s i o n ·   描 述 ： 对 手 试 图 通 过 请 求 进 入 应 用 程 序 注 入 S Q L 命 令 ， 从 而 绕 过 登 录 过 程 。 ·   S T R I D E 分 类 ： 篡 改 数 据 ， 提 升 特 权 ·   缓 解 ： 无 ·   已 知 缓 解 ： 存 储 过 程 ， 参 数 化 查 询
·   调 查 说 明 ： 审 查 了 应 用 程 序 的 数 据 库 调 用 ， 并 在 登 录 查 询 使 用 字 符 串 连 接 。 ·   入 口 点 ： 登 录 页 面 ·   资 产 ： 访 问 支 持 的 数 据 库 ·   威 胁 树 ： 无   通 过 通 过 S T R I D E 对 威 胁 分 类 对 威 胁 分 类 通 过 M i c r o s o f t 标 准 化 简 易 表 格 将 威 胁 分 类 。 ·   假 冒 身 份 ·   篡 改 数 据 ·   否 认 ·   信 息 泄 露 ·   拒 绝 服 务 ·   提 升 特 权 使 用 使 用 D R E A D 评 价 评 价 威 胁 威 胁 使 用 M i c r o s o f t   D R E A D 模 型 评 价 威 胁 等 级 。 根 据 每 个 项 目 的 等 级 范 围 进 行 评 价 ， 对 大 多 数 项 目 来 说 ， 等 级 范 围 为 1 - 3 。 ·   破 坏 潜 力 — 如 果 漏 洞 被 利 用 ， 损 失 有 多 大 ？ ·   再 现 性 ： 重 复 被 利 用 的 难 度 有 多 大 ？ ·   可 利 用 性 ： 漏 洞 被 利 用 的 难 度 有 多 大 ？ ·   受 影 响 的 用 户 ： 多 少 用 户 可 能 受 到 影 响 ？ ·   可 发 现 性 ： 容 易 被 发 现 吗 ？ 破 坏 潜 力 破 坏 潜 力 1 .   攻 击 者 可 以 获 取 极 其 敏 感 的 数 据 ， 并 损 坏 或 破 坏 数 据 。 2 .   攻 击 者 可 以 获 取 敏 感 数 据 ， 但 破 坏 性 小 。 3 .   攻 击 者 只 能 获 取 危 害 小 或 不 具 破 坏 潜 力 的 数 据 。 再 现 性 再 现 性
1 .   每 次 都 再 现 ； 而 且 不 需 要 时 间 间 隔 或 特 定 的 极 端 情 形 2 .   有 时 间 间 隔 ； 仅 在 时 间 间 隔 内 运 行 3 .   很 少 再 现 可 利 用 性 可 利 用 性 1 .   任 何 人 都 能 利 用 2 .   攻 击 者 必 须 具 备 一 定 的 知 识 和 技 能 3 .   攻 击 者 必 须 具 备 非 常 专 业 的 知 识 和 技 能 受 影 响 的 用 户 受 影 响 的 用 户 1 .   大 多 数 或 所 有 用 户 2 .   一 些 用 户 3 .   极 少 用 户 可 发 现 性 可 发 现 性 1 .   攻 击 者 可 以 轻 易 发 现 漏 洞 2 .   攻 击 者 也 许 能 发 现 漏 洞 3 .   攻 击 者 必 须 深 挖 才 能 发 现 漏 洞 威 胁 建 模 之 后 该 做 何 工 作 ？ 威 胁 建 模 过 程 的 输 出 包 括 应 用 程 序 体 系 结 构 安 全 方 面 的 记 录 和 评 价 过 的 威 胁 列 表 。 威 胁 模 型 有 助 于 您 协 调 开 发 小 组 成 员 ， 并 将 精 力 集 中 在 最 有 影 响 的 威 胁 上 。 要 点 要 点   威 胁 建 模 是 一 个 不 断 重 复 的 过 程 。 威 胁 模 型 是 一 种 发 展 的 文 档 ， 并 且 各 种 不 同 的 小 组 成 员 都 可 以 参 与 。 下 列 小 组 的 人 员 都 可 以 使 用 威 胁 模 型 ： 设 计 者 可 以 利 用 它 来 进 行 技 术 与 功 能 方 面 的 安 全 设 计 选 择 决 策 。 编 写 代 码 的 开 发 人 员 可 以 利 用 它 来 降 低 风 险 。 测 试 人 员 可 以 编 写 测 试 案 例 来 测 试 应 用 程 序 是 否 容 易 受 分 析 所 找 出 的 威 胁 的 攻 击 。 生 成 工 作 项 目 报 告 生 成 工 作 项 目 报 告
从 最 初 的 威 胁 模 型 ， 您 可 以 创 建 一 个 更 正 式 的 工 作 项 目 报 告 ， 它 可 以 包 括 其 他 的 属 性 ， 例 如   B u g   I D ， 可 用 它 把 您 喜 好 的 错 误 跟 踪 系 统 和 威 胁 连 接 起 来 。 实 际 上 ， 您 可 以 选 择 在 错 误 跟 踪 系 统 中 输 入 找 出 的 威 胁 ， 利 用 它 的 报 告 工 具 来 生 成 报 告 。 也 可 以 用 一 个 状 态 栏 来 表 明 错 误 是 否 已 经 被 修 复 。 您 应 当 确 保 报 告 包 括 用 来 连 接 威 胁 模 型 文 档 的 原 始 威 胁 编 号 。 在 报 告 中 ， 根 据 网 络 、 主 机 和 应 用 程 序 种 类 来 组 织 威 胁 。 这 可 以 使 不 同 角 色 的 不 同 小 组 成 员 更 方 便 地 使 用 该 报 告 。 每 一 类 中 ， 按 优 先 顺 序 排 列 威 胁 ， 最 先 的 是 评 价 具 有 最 大 危 险 的 威 胁 ， 紧 跟 的 是 危 险 较 小 的 威 胁 。 总 结 总 结 虽 然 您 可 以 降 低 攻 击 带 来 的 危 险 ， 但 是 却 不 能 减 少 或 者 消 除 实 际 的 威 胁 。 不 管 您 采 取 何 种 安 全 措 施 以 及 采 用 何 种 对 策 ， 威 胁 仍 旧 存 在 。 安 全 界 的 现 实 就 是 ， 承 认 威 胁 的 存 在 并 控 制 危 险 。 威 胁 建 模 可 以 帮 助 您 控 制 安 全 风 险 并 在 团 队 中 间 沟 通 这 些 安 全 风 险 ， 并 做 出 有 效 响 应 。 威 胁 建 模 在 过 程 的 整 个 周 期 （ 从 初 始 化 到 部 署 ， 还 包 括 维 护 过 程 ） 进 行 。 至 于 C I S S P 及 C I S P 培 训 学 员 必 须 了 解 威 胁 建 模 的 所 有 过 程 ， 并 应 掌 握 如 何 通 过 威 胁 建 模 技 术 以 最 有 效 的 方 式 缓 解 威 胁 。 要 将 威 胁 建 模 看 成 一 个 不 断 循 环 的 过 程 。 您 的 威 胁 模 型 应 当 是 动 态 模 型 ， 应 随 着 时 间 的 推 移 不 断 更 改 ， 以 适 应 发 现 的 新 型 威 胁 与 攻 击 。 它 还 要 能 够 适 应 应 用 程 序 为 适 应 业 务 变 更 的 需 求 而 不 断 完 善 与 更 改 的 自 然 发 展 过 程 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理