Количественная оценка моделей угроз

Сегодня нами создается огромное количество моделей угроз. Существует несколько тривиальных параметров, которые мы МОЖЕМ измерить количественно (число элементов, различные меры полноты и словесного наполнения). Гораздо более сложными являются вопросы о том, какие параметры мы ДОЛЖНЫ измерять и ПОЧЕМУ. Какие свойства модели угроз наиболее точно показывают, достигнуты ли поставленные нами цели анализа, обеспечения безопасности и обучения? Говоря иначе, какие параметры системы соответствуют определенным целям и как они с этими целями связаны? Какие затраты потребуются для измерения таких параметров? (Небольшой пример: в одну из наших групп по обсуждению проблем обеспечения безопасности поступило электронное письмо с вопросом о том, как решить определенную проблему. Несколько человек ответило на него; после короткого обсуждения группа выбрала один из предложенных вариантов. Вряд ли какое-то из этих решений было когда-либо формально описано и зафиксировано. Сделанный выбор полностью оправдал себя: мы смогли с небольшими затратами повысить уровень безопасности. Таким образом, документирование повторяющихся решений не имеет особого смысла.) Существует ли возможность проанализировать модель и определить вероятность, с которой она повторяется? Какие еще подходы к измерению параметров могут быть полезны для разработчиков и специалистов, занимающихся принятием решений?

Благодарности

Я бы хотел поблагодарить рецензентов Шона Хернана (Shawn Hernan), Стивена Липнера (Steven Lipner), Дж. Д. Мейера (J.D. Meier) и Гленна Питвея (Glenn Pittaway) за ценные замечания по черновикам моей работы, а также своих многочисленных коллег (перечислить всех поименно здесь просто невозможно) за познавательные разговоры о вопросах моделирования угроз.

Заключение

В настоящей статье вкратце описана история развития моделирования угроз в Microsoft. Приведены некоторые детали современной состояния вопроса, а также накопленный нами опыт. Кроме того, предложены несколько важных тем для дальнейших исследований, которые, как мы надеемся, могут заинтересовать членов научного сообщества.

Список литературы

1. Marwan Abi-Antoun, DanielWang and Peter Torr, Checking Threat Modeling Data Flow Diagrams for Implementation Conformance and Security, ASE'07, 2007. Atlanta, Georgia, USA
2. Lorrie Faith Cranor, A Framework for Reasoning About the Human in the Loop, Symposium on Usable Privacy and Security, 2008. Pittsburgh, Pennsylvania, USA
3. Carl Ellison, Ceremony Analysis, Microsoft ThinkWeek paper, January 24, 2005. A version of this paper appears as Cryptography ePrint 2007/399, October 2007. http://eprint.iacr.org/2007/399
4. Shawn Hernan, Scott Lambert,Tomasz Ostwald and Adam Shostack, Uncover Security Design Flaws Using The STRIDE Approach, MSDN magazine, November 2006
5. Michael Howard and David LeBlanc, Writing Secure Code, Microsoft Press, 2001
6. Michael Howard and David LeBlanc, Writing Secure Code, 2nd edition Microsoft Press, 2002
7. Michael Howard and Steven Lipner, The Security Development Lifecycle, Microsoft Press, 2006
8. Oxford English Dictionary Online, visited July 14, 2008
9. Craig Rubens, Cleantech Terror Alert: Hacking the Grid, Earth2Tech, June 26, 2008, http://earth2tech.com/2008/06/26/cleantech-terror-alert-hacking-the-grid/
10. Adam Shostack, Reinvigorate your Threat Modeling Process, MSDN Magazine, July 2008
11. Frank Swiderski and Window Snyder, \Threat Modeling," Microsoft Press, 2004

----------

Дата добавления: 2015-11-14