脅威モデリングって何？やってみてどうだった？

2026/10/25（日） 第4回 よわよわセキュリティ勉強会 で発表したLT資料

Transcript

1. 脅威モデリングって何？ やってみてどうだった？ 2026/10/25（日） 第4回 よわよわセキュリティ勉強会
2. 今日持って帰ってほしいもの 1. 脅威モデリングとは何か 2. 脅威モデリングをやってみて感じたこと、自分の変化 ※ LTなので細かく紹介はできません🙏 ※ あくまで自分の体験です🙏 ※ 参考になるサイトを共有しますのでそちらをご活用ください
3. 自己紹介 名前: Capi(かぴ) 経歴: ITエンジニア6年目 お仕事: IT土方(ITセキュリティは本業じゃない) 趣味: 飲酒、 一人旅、 運動、 技術系情報を漁る カピバラになりたい @You_saku98
4. 目次 1. 脅威モデリングとは 2. 脅威モデリングをやりかた 3. 脅威モデリングをやってみて 4. まとめ 5. 参考文献など諸々(おまけ)
5. 脅威モデリングとは 脅威モデリングとは、アプリケーションとその環境のセキュリティホールを見つけるた めの手法です。脅威モデリングでは、アプリケーションのすべての構成要素を含んだ 表現を作成し、その中で脆弱な箇所を特定します。 Cloudflare. “脅威モデリングとは? | Cloudflare”. 脅威モデリングとは？. https://www.cloudflare.com/ja-jp/learning/security/glossary/what -is-threat-modeling, (2026/10/18)
6. 脅威モデリングの手法(フレームワーク) 脅威モデリングの手法は複数あります。 1. 2. 3. 4. STRIDE ← 今回はこれを採用した話しになります PASTA VAST SQUARE etc… 調べるとたくさん見つかります。フレームワーク名はモデリングする際の観点の頭文字を とって名付けられたりします。目的や方針、目指す世界観に応じて選んでください。
7. 脅威モデリングのためにすること 1. 対象システムを図解 2. 図解した図を使って脅威の洗い出し 3. 改善を回す(脅威への対応、継続的な脅威モデリング実施) 1と2に関しては具体例をこのあと紹介します。
8. 脅威モデリングのためにすること（1.の詳細） 対象システムを図解(架空ECサイト) ※図解方法はなんでも良いです(例はMermaid)
9. 脅威モデリングのためにすること（1.の詳細） 「システムというより特定機能に対して脅威モデリングをやりたい」という場合は機能 の流れを図解するのもアリです(持論)。 ※例として架空ECサイトの購入(カートに商品を入れて決済完了まで)機能を図解
10. 脅威モデリングのためにすること（2.の詳細） 図解したシステムからフレームワークに沿って脅威を洗い出していく。 ※わかりにくいですが、右図の赤や濃い緑色の付箋 STRIDEの各項目の違いがわかるにすると👍 右図は付箋の項目ごとに色を分けています。 BASE. “脅威モデリングはじめました - BASEプロダクトチームブログ”. 脅威モデリングはじめました. https://devblog.thebase.in/entry/2026/08/31/110000, (2026/10/18)
11. 脅威モデリングをやってみて気づいたこと 1. 2. 3. 4. システムの図解は時間がかかる 知識だけでなく開発経験があると脅威の洗い出しがしやすい 理想は開発序盤にやること 継続が難しい 1,2,4に関しては”おまけ”で詳細を記載しています。
12. まとめ 1. 脅威モデリングはセキュリティの穴を見つける手法 2. 脅威モデリングのフレームワークは目的別に使い分ける 3. 脅威モデリングを実践するには知識と実践、覚悟がいる かも
13. おわり
14. おまけ
15. 脅威モデリングをやってみて気づいたこと(再掲) 1. 2. 3. 4. システムの図解は時間がかかる 知識だけでなく開発経験があると脅威の洗い出しがしやすい 理想は開発序盤にやること 継続が難しい
16. 脅威モデリングをやってみて気づいたこと(1の詳細) 図解対象のシステムを把握するのが難しい。 Q. なんで難しいの？ A. 現状を正しく記録しているSSOT(信頼できる唯一の情報源)が存在しないことがあるため 脅威モデリングはアプリケーション以外にインフラも関わってきます。また外部サービス接続もあるで しょう。全てを記録し全体を俯瞰できるものがメンテナンスされ続けているでしょうか？ 脅威モデリングをしながら 「え？何これ？こんなのあったの？」と気付かされることは多かったです。
17. 脅威モデリングをやってみて気づいたこと(2の詳細) 「知識として持ってる」と「知識を使って実践できる」は違います。 (“ラーニングピラミッド”を参考) • 持ってる知識を仕事現場に適応できますか？ 例) 「XSSのコード例をVanilla JS、PHPでみたことがある。しかし、実務ではReact.jsなどの ライブラリやフレームワークを使っている」。 この場合はどうなるか • コードの実態だけでなくその背景や意図、制約まで把握できていますか？ 例) 「〇〇機能、実は△△の背景があって外している。ただその代わりに◇◇の対応をチームで合 意し実装することで担保している」 など 現実は教科書通りの世界であることの方が少ないです。泥臭く地道にスキルを身につけたいです。
18. 脅威モデリングをやってみて気づいたこと(4の詳細) 脅威モデリングはやって終わりではないです。やったあとも大事です。 • • • 脅威モデリングで見つけた脅威に対処するために次何をするのか 脅威モデリングを次するならばどこをやるのか 脅威モデリングの次回実施を希望するだけでなく実際に開催し完了できるか 「脅威への対処に付きっきりで次回実施がなかなかできない」という状態になることは ありえます(ビジネス的な優先度や人手不足…😭)
19. 参考文献 • • • • BASE Product Team Blog. 脅威モデリングはじめました. 2026/08/31. https://devblog.thebase.in/entry/2026/08/31/110000, (参照 2026/10/24) Microft Ignite. 脅威モデリングの概要. https://learn.microsoft.com/ja-jp/training/modules/tm-introduction-to-thr eat-modeling/ , (参照2026/10/24) Luup Developers Blog. 脅威モデリングを始めて観ました - セキュリティ分析の第一歩. 2025/12/06, 2026. https://zenn.dev/luup_developers/articles/sre-niwa-20251206, (参照 2026/10/24) Cloudflare. 脅威モデリングとは？. https://www.cloudflare.com/ja-jp/learning/security/glossary/what-is-thre at-modeling/, (参照 2026/10/24)
20. 参考文献 • • FORTINET. 脅威モデリング. https://www.fortinet.com/jp/resources/cyberglossary/threat-modeling, (参 照 2026/10/24) NRIセキュア ブログ. 脅威モデリングとは | 実施手順と成功のためのポイントを解説. 2024/06/26. https://www.nri-secure.co.jp/blog/threat-modeling, (参照 2026/10/24)