From Threat Modeling to Threat Management

Talk auf der DigitalXChange 2024 in Gummersbach.
Das IT-Sicherheit eine wesentliche Voraussetzung für eine erfolgreiche und nachhaltige Digitalisierung ist, steht außer Frage. Dennoch können wir fast täglich die Folgen mangelhafter IT-Sicherheit in den Nachrichten bestaunen oder haben sie sogar schon am eigenen Leib erfahren. Ein erster Schritt zu besserer IT-Sicherheit kann ein Threat-Modelling sein. Dabei handelt es sich um eine Methode um Gefahren zu erkennen, zu kategorisieren und Maßnahmen zu ihrer Abwehr zu erarbeiten. Wir wollen euch Threat-Modelling in einem spannenden Mix aus Theorie und Praxis nahe bringen. Hierzu führen wir euch zunächst in die grundlegenden Begriffe und Konzepte ein und stellen die STRIDE-Methode vor, um effektiv Bedrohungen zu identifizieren. Im Anschluss demonstrieren wir, wie ihr mit unserem Open-Source-Tool 'ThreatShield' die erkannten Bedrohungen, Risiken und Maßnahmen systematisch und gemeinsam im Team erfassen und auswerten könnt.

Transcript

1. Threat Modeling Ein wichtiger Schritt zu besserer IT-Sicherheit Raphael Esterle Oliver Tigges
2. 3 > who are we Oliver Tigges Software-Entwickler Projektleiter Contributor ThreatShield Raphael Esterle Software-Entwickler mit Fokus auf IT-Security
3. 5 Agenda Threat Modeling 1. Warum, wie und wann? 2. Vorgehen 3. Threats managen 4. Fragen und Diskussion
4. 6 1. Threat Modeling
5. 7 Threat Modeling. Was ist das?
6. 8 Threat Modeling. Was ist das? Threat -> Bedrohung Modeling -> Modellierung Systemmodellierung und Systemanalyse Ziel: Bedrohungen erkennen und darauf reagieren
7. 9 Threat Modeling. Warum?
8. 10 Threat Modeling. Warum? Bewusstsein für system- spezifische Bedrohungen schaffen Bestandteil der Systemdokumentation Hoher Kosten-Nutzen-Faktor
9. 11 2. Vorgehen
10. 12 Vorgehen 1. Kontext abgrenzen 2. System modellieren 3. Bedrohungen identifizieren 4. Risikobewertung 5. Risikomanagement
11. 13 Kontext
12. 14 Name: TechMech International GmbH Branche: 3D-Druck für Leichtbaukomponenten Kunden: Luft- und Raumfahrt Mitarbeiter: ca. 300 Standort: Bergisches Land Innovationen aus dem Bergischen für die Welt. Mittelstand, produzierendes Unternehmen Kunde aus: Luft- und Raumfahrtindustrie IT-Infrastruktur primär On-Premise Microsoft365 und ausgewählte Azure Dienste
13. 15 Use Cases Auftragsverwaltung • Aufträge managen und tracken • Arbeitsaufträge verwalten Website • Allgemeine Firmeninformationen bereitstellen • Kunden können Auftragsstatus einsehen
14. 16 Conny - Wettbewerberin Jana - Journalistin Hank – Cyber-Krimineller Ingrid – Angestellte Serge – Geheimdienstler Andy -Aktivist Ralph – Unzufriedener Kunde Sally – Hosting-Dienstleister Sam - Saboteur Threat Actors
15. 17 Conny - Wettbewerberin Kompetenz Zielgerichtet Ressourcen Jana - Journalistin Hank – Cyber-Krimineller Ingrid – Angestellte Serge – Geheimdienstler Andy -Aktivist Ralph – Unzufriedener Kunde Sally – Hosting-Dienstleister Sam - Saboteur Werte sind stereotypisch, nicht statistisch Personas Threat Actors
16. 19 Modellierung
17. 20 Assets Auftragsdaten Kundendaten Inhalte der Website
18. 21 Datenflussdiagramme: Externe Entitäten Authentifizierung (über externen Anbieter) Mitarbeiter der TechMech Kunde der TechMech Interessierte externe Person Website- Besucher Mitarbeiter Kunde IAM (Identity & Access Management)
19. 22 Datenflussdiagramme: Prozesse Anlegen und Bearbeiten von Kundendaten und Aufträgen. Arbeitsaufträge einsehen und abschließen Tracking des Auftragsstatus Auslieferung der Firmenwebsite Einsicht in Auftragsstatus durch Kunden Website Auftrags- verwaltung
20. 23 Datenflussdiagramme: Datenspeicher Speichert Änderungen an Kunden- und Auftragsdaten sowie Zeitpunkt und Initiator der Änderung Speichert Kunden- und Auftragsdaten
21. 24 Datenflussdiagramme: Datenflüsse
22. 25 Datenflussdiagramme: Datenflüsse
23. 26 Datenflussdiagramme: Datenflüsse
24. 27 Datenflussdiagramme: Trust Boundaries
25. 28 Datenflussdiagramme: Trust Boundaries Nur Mitarbeiter sind berechtigt Aufträge einzusehen
26. 29 Datenflussdiagramme: Trust Boundaries Nur Mitarbeiter sind berechtigt Aufträge einzusehen Nur die Auftragsverwaltung ist berechtigt abzufragen
28. 31 Bedrohungen identifizieren
29. 32 Vertrau- lichkeit Integrität Verfüg- barkeit Authen- tizität Nicht- Abstreit- barkeit Zuver- lässigkeit CIA-Triade: Confidentiality, Integrity, Availability
30. 33 STRIDE Schutzziel Bedrohungsklasse Authentizität Spoofing (Täuschung) Integrität Tampering (Manipulation) Nicht-Abstreitbarkeit Repudiation (Abstreitbarkeit) Vertraulichkeit Information Disclosure (Offenlegung von Informationen) Verfügbarkeit Denial of service (Verweigerung des Dienstes) Vertraulichkeit/Integrität Elevation of privilege (Rechteausweitung)
31. 34 Bedrohungen identifizieren Bedrohungsklasse Bedrohungen Spoofing (Täuschung) Mitarbeiter kann sich mit gestohlenem Token als anderer Mitarbeiter ausgeben. Tampering (Manipulation) Auftragsdaten können auf Grund von mangelnder Eingabevalidierung ohne Berechtigung verändert werden Denial of service (Verfügbarkeit) Invaliede Eingaben bringen die Auftragsverwaltungzum Absturz ... ...
32. 35 Bedrohungen identifizieren Bedrohungsklasse Bedrohungen Information Disclosure (Offenlegung von Informationen) Angreifer fängt übertragene Kundendaten ab Tampering (Manipulation) Angreifer verändert übertragenen Auftragsdaten (mitm) Denial of service (Verfügbarkeit) Angreifer gibt sich als Auftragsverwaltung aus und fängt alle abfragen ab. ... ...
33. 36 Weitere (kreative) Ansätze OWASP Top Ten ATT&CK von MITRE ThreatShield Das Kartenspiel „Elevation of Privilege“ https://shostack.org/games/elevation-of-privilege
34. 37 3. (Kontinuierlich) Managen
36. 39 4. Zusammenfassung
37. 40 Zusammenfassung 1. Threat Modeling ist ein analytischer Ansatz 2. Vielfälte Tools und Methoden (z.B. STRIDE) 3. Kontinuierlicher Prozess mit vielen Beteiligten (TARA, CTEM) 4. Einfacher Schritt zu besserer IT-Sicherheit: Wenig Tools, Kosten, Know-How
38. 41 Empfehlungen https://shostack.org https://owasp.org/www-community/Threat_Modeling Threat Dragon Microsoft Threat Modeling Tool https://attack.mitre.org/
39. Mastertextformat bearbeiten 42 Danke fürs Zuhören! Fragen und (hoffentlich) Antworten https://inspired.consulting https://threatshield.eu