STRIDE ile tehdit modelleme

Bir güvenlik açığını üretimde bulmak, tasarım masasında bulmaktan çok daha pahalıdır. Kodu yazmadan önce burada ne ters gidebilir diye sormak, sonradan yama yazmaktan ucuzdur ve daha az hasar bırakır. Bu sorgulama işine tehdit modelleme denir. Tehdit modelleme bir sistemin parçalarını, aralarındaki veri akışını ve her akışta kimin neye güvendiğini çıkarır, sonra her parçaya aynı soruyu sorar: burada saldırgan ne yapabilir. Rastgele sormak yeterli değildir, çünkü unutulan bir tehdit akılda kalan tehditten daha pahalıya patlar. Microsoft'un geliştirdiği STRIDE, bu soruyu altı sabit kalıba böler ve taramanı eksiksiz tutar. Bu derste AltayKargo'nun yeni iade servisini örnek alacaksın. Servis, müşterinin hasar bildirimi girdiği, fotoğraf yüklediği ve iade durumunu sorguladığı basit bir web uygulamasıdır. Aynı örnek modülün geri kalanında da kullanılacak.

STRIDE her harfi ayrı bir tehdit türüne karşılık gelir. Kimlik sahteciliği (Spoofing), birinin başkası gibi davranmasıdır: çalınan bir oturum çereziyle başka müşteri gibi giriş yapmak buna girer. Değiştirme (Tampering), veri ya da mesajın yetkisiz değiştirilmesidir. İnkâr (Repudiation), bir işlemi kimin yaptığının sonradan kanıtlanamamasıdır. Bilgi ifşası (Information disclosure), yetkisi olmayanın veriyi görmesidir. Hizmet reddi (Denial of service), sistemin meşru kullanıcıya yanıt veremez hale gelmesidir. Yetki yükseltme (Elevation of privilege), bir hesabın tasarlanan yetkisinin üstüne çıkmasıdır. Altı kategori de birbirinden bağımsız sorulur; bir özellik aynı anda birden fazla kategoriye açık olabilir. Bu altı kategori CIA üçlüsünü de genişletir: gizlilik, bütünlük ve erişilebilirliğin yanına kimlik ve hesap verebilirliğini ekler.

Şema STRIDE'ın nereye oturduğunu gösterir. Varlığı ve zafiyeti belirledikten sonra STRIDE'la tehdidi çıkarırsın. Ardından her tehdidin olasılığını ve etkisini kabaca tahmin edersin; sık ve ağır olan tehdit önce kapatılır. Son adımda risk işlenir: azaltılır, devredilir ya da bilerek kabul edilir. STRIDE tek başına bir öncelik sırası vermez, yalnız listeyi eksiksiz çıkarır. Nadir ama ağır bir tehdit, sık ama hafif bir tehditten önce ele alınabilir; karar bu iki eksenin çarpımına bakar.