脅威モデリングワークショップ

© 2025, Amazon Web Services, Inc. or its affiliates. All
rights reserved. 脅威モデリング Introduction - なにそれおいしいの︖ なかしまともひろアマゾンウェブサービスジャパン合同会社

rights reserved. なかしまともひろアマゾンウェブサービスジャパン合同会社セキュリティソリューションアーキテクト寿司・天麩羅職⼈⾒習い釣り⼈⾒習い 2

rights reserved. 脅威モデリングとは︖ 3

rights reserved. 脅威モデリングとは脅威モデリングは、構造的⽋陥※や適切な保護⼿段の⽋如などの潜在的な脅威を特定して列挙し、対応策に優先順位を付けるプロセスです。 ※脆弱性、不具合など ( from wikipedia)

rights reserved. チームで取り組むビジネスペルソナデベロッパーペルソナアプリケーションセキュリティ SMEペルソナ敵対的ペルソナディフェンダーペルソナ

rights reserved. 脅威モデリングはデータフロー可視化からスタート情報セキュリティは情報資産（データ）を安全に利活⽤するための⾮機能要件だからこそ、データの流れ（フロー）の把握が必要⼗分なリスクの把握に繋がる 6 情報資産脅威脆弱性最終的に明らかにしたいもの（＝リスク）

rights reserved. 脅威モデリングに取り組むモチベーション 7 気づき、学び Q C D 品質、コスト、納期 uality ost elivery

rights reserved. どこでどのように問題を識別、対処できますか︖ 計画設計ビルドテストデプロイ保守脅威モデリングコードレビュー静的コード分析（SAST) ダイナミック分析（DAST) ペネトレーションテストパイプラインでの⾃動セキュリティチェック情報開⽰バグバウンティ

rights reserved. 不具合修正のコストと“シフトレフト“ 計画設計ビルドテストデプロイ保守早いほうがよい︕ 改修コストシフトレフト

rights reserved. 先⼈の知恵にあやかろう/共通⾔語 10 Adam Shostack, 2014 © 2024, Amazon Web Services, Inc. or its Affiliates. All rights reserved. 11 脅威モデリングの流れ / Shostackの4つの質問フレーム私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. 先⼈の知恵にあやかろう/共通⾔語（続き）脅威モデリングに活⽤できるフレームワークの例 11 名称フォーカスポイント概要 STRIDE ソフトウェア開発者 Microsoft社が開発した⽅法論で、セキュリティ上の脅威を特定するための記憶術。「Spoofing （なりすまし）、Tampering（改ざん）、Repudiation（否認）、Information disclosure（情報漏えい）、Denial of service（サービス妨害）、Elevation of privilege（特権の昇格）」の頭⽂字。 DREAD 脅威のリスク評価マイクロソフト社の別の⽅法論で、特定された脅威のリスク評価に使⽤。DREADは損害の可能性 (Damage potential)、再現性(Reproductivity)、悪⽤可能性(Exploitability)、影響を受けるユーザー(Affected users)、発⾒可能性(Discoverability)。これらの要素はスコア付けされ、その結果は特定された脅威の優先順位付けに使⽤されます。 PASTA 攻撃者視点「Process for Attack Simulation and Threat Analysis（攻撃のシミュレーションと脅威分析のプロセス）」の略。PASTAは、脅威の特定、列挙、スコア付けを7段階のプロセスで⾏う。 Trike 受容リスク資産の防御に焦点を当てたリスクベースの⽅法論。リスク管理の観点から始まり、その⽂脈で脅威と脆弱性を考える。 VAST 脅威の視覚的表現 Visual（視覚的に）、Agile（柔軟に）、Simple（簡単に）Threat（脅威）（VAST）に対応する⽅法論。アジャイル開発環境に統合されやすく、アクセスしやすいことを⽬指す。 OCTAVE 組織のリスク評価オペレーショナルクリティカルな脅威資産と脆弱性の評価。特定の資産に基づく脅威プロファイルの構築、インフラストラクチャの脆弱性の特定、セキュリティ戦略と計画の策定の３フェーズがある。

rights reserved. 脅威モデリングをお楽しみください 12

rights reserved. 脅威モデリングワークショップ - 脅威モデリングの実践保⾥善太アマゾンウェブサービスジャパン合同会社

rights reserved. タイムテーブル 14 時間所要時間内容 13:00-13:10 10分はじめに (前説) 13:10-13:50 30分脅威モデリングの説明登場するAWSサービスの紹介 13:50-14:00 10分⾃⼰紹介タイム (サポートするAWSメンバー) 14:00-17:30 3時間30分脅威モデリングワークショップ (適宜休憩) 17:30-17:50 30分ワークショップまとめ 17:50-18:00 10分 Security-JAWSのから締めの挨拶

rights reserved. 15 保⾥善太 (ほりぜんた) • 所属アマゾンウェブサービスジャパン合同会社セキュリティソリューションアーキテクト • 趣味札幌巡り、⽔泳 • 好きな AWS サービス Zenta Hori [email protected] @HoriZenta AWS WAF Amazon GuardDuty AWS Lambda

rights reserved. 脅威モデリングの流れ

rights reserved. 脅威モデリングの実際の流れ私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. Step 1︓システムを理解する私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. 必要な情報を集めるシステムを深く理解するため、ドキュメントを集めてレビューする • 役⽴つドキュメントの例︓ ・アーキテクチャ図・デザイン・設計書・データフロー図・API仕様・コード全体的なアーキテクチャ図

rights reserved. 必要な情報を揃える 20 API名説明 ListVehicles 利⽤可能なすべての IoT コネクテッドカーの情報を返します。 RegisterVehicle 既存の IoT コネクテッドカーを登録し、サービスを開始させます。 DeregisterVehicle 既存の登録済み IoT コネクテッドカーの登録を解除し、サービスを停⽌します。 DescribeVehicle 特定の IoT コネクテッドカーの情報を返します。登録済みの場合は、⾞両登録証への署名済み URL が含まれます。⾞両登録機能API仕様

rights reserved. 例︓アーキテクチャを理解する 21 新規追加となるアーキテクチャ図⾞両登録機能のアーキテクチャ図 : ウェブブラウザが AWS Amplify、Amazon Cognito、Amazon API Gateway と通信を⾏います。その際、Amazon API Gateway は⾞両登録の Lambda 関数と通信し、データを DynamoDB テーブルと S3 バケットに格納します。 1. Web BrowserはAWS Amplifyから Webアプリケーションを取得する 2. WebアプリケーションはAmazon Cognitoでユーザー認証を⾏い、その結果として認証トークンを保持する 3. クライアントは、認証情報を使⽤してAPI GatewayへAPIリクエストを実⾏する 4. 既存の IoT ⾞両を登録する場合は、 RegisterVehicle を実⾏する。API 実⾏には、登録番号、有効期限、 PDF 形式の⾃動⾞登録証を⼊⼒値として渡す。これによりサービスを開始する。処理の流れを確認する

rights reserved. データフロー図（DFD) を作成する 22 データストア処理外部エンティティデータフローヒューマンアクターデータフロー図の要素

rights reserved. (例) 簡単なWebアプリケーション 23 ユーザー GitHub Pages AWS Cloud Amazon S3 Bucket Amazon CloudFront ブラウザ

rights reserved. スタティックウェブアプリケーション (例) データフローと信頼境界（Zone of Trust) Amazon Clodfront ディストリビューション GitHub ページ AWS アカウントホスティング GitHub AWS アカウントホスティングします S3 バケットブラウザ A1 A2 A3 A4 B1 B2 A1 ̶ HTTPゲット A2 ̶ HTTP ゲット A3 ̶ スタティックアセット (HTML、CSS、JS) A4 ̶ スタティックアセット (HTML、CSS、JS) B1 ̶ HTTP 取得 B2 ̶ スタティックアセット (HTML、CSS、JS)

rights reserved. Step 2︓脅威を洗い出す私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. 分析⼿法とツール ⑤ サービス拒否 DoS ② 改ざん Tampering ① スプーフィング Spoofing ④ 情報漏洩 Information Disclosure ⑥ 権限の昇格 EoP ③ 否認 Repudiation STRIDE 機密性に影響を与える信頼性に影響する完全性に影響を与える可⽤性に影響する影響否認防⽌影響認可 1. Spoofing・スプーフィング：ID のなりすましでは、どのような認証脅威が発生する可能性があるか 2. Tampering・改ざん：移動中か保管中かを問わず、データの改ざんにつながるインテグリティの脅威にはどのようなものがあるか 3. Repudiation・否認：発生する可能性のあるアクションを拒否する原因となる監査上の脅威の種類（アクションを拒否したり、発生したアクションを隠したりできる） 4. Information Disclosure・情報漏洩：どのような機密保持の脅威が発生して情報開示につながる可能性があるか 5. Denial of Service・サービス拒否：どのような種類の可用性脅威が発生してサービス拒否の脅威が発生する可能性があるか 6. Elevation of Privilege・権限の昇格：権限昇格ではどのような権限の脅威が発生する可能性がありますか脅威モデリングの分析⼿法として STRIDEがよく⽤いられる

rights reserved. STRIDEとデータフロー図の各コンポーネントサービス拒否 DoS 改ざん Tampering スプーフィング Spoofing 情報漏洩 Information Disclosure 権限の昇格 EoP 否認 Repudiation STRIDE 機密性に影響を与える信頼性に影響する完全性に影響を与える可⽤性に影響する影響否認防⽌影響認可 STRIDEの各カテゴリの脅威の対象となる要素は下記の表に⽰すように⼤体決まっている

rights reserved. 脅威ステートメントを書くデータフロー図を⾒ながら、起こり得る問題を洗い出してリストアップする • 脅威を例⽰する際は、脅威ステートメントというフォーマットを推奨する [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって[脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある例︓管理者権限を持っている内部の脅威アクターが、データベースに保存されているデータを改ざんすることによってクレジットカードの利⽤明細が変更されることにつながり、その結果カード利⽤明細の整合性に悪影響が及ぶ可能性がある

rights reserved. 脅威の例 Webアプリケーションのユーザー名とパスワードをブルートフォースできる脅威アクターは、認証されたユーザーを装うことができます。これにより、アクターはユーザーができることは何でも実⾏できるようになり、信頼境界内の資産に悪影響を及ぼします。スプーフィングエラーログにアクセスできる脅威アクターは、除外または編集されていない機密データにアクセスできるため、プロジェクトワークスペースの脅威モデルコンテンツの機密性が低下します情報漏洩脅威アクターは、 AWS Lambda関数⽤に作成したコードの脆弱性を悪⽤する可能性があります。これにより、アプリケーションが意図しない動作をし、プロジェクトワークスペースの脅威モデルのコンテンツに悪影響を及ぼす可能性があります。改ざん

rights reserved. [S]TRIDE : スプーフィングの脅威を⾒つける 30 STRIDE per Element を参照すると、スプーフィングの脅威の対象の⼀つとして外部エンティティとヒューマンアクターがあることがわかる。脅威 ID 脅威ステートメント要素 STRIDE T01 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。ユーザー S … … ユーザー S スタティックウェブアプリケーション Amazon Clodfront ディストリビューション GitHub ページ AWS アカウントホスティング GitHub AWS アカウントホスティングします S3 バケットブラウザ A1 A2 A3 A4 B1 B2

rights reserved. S[T]RIDE : 改ざんの脅威を⾒つける 31 STRIDE per Element を参照すると、改ざんの脅威の対象の⼀つとしてデータストアがあることがわかる。ゲームデータバックアップ機能のシステムモデルで定義されているデータストアはテーブルとオブジェクトバケットである。脅威 ID 脅威ステートメント要素 STRIDE T02 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。オブジェクトバケット T T03 … オブジェクトバケット T スタティックウェブアプリケーション Amazon Clodfront ディストリビューション GitHub ページ AWS アカウントホスティング GitHub AWS アカウントホスティングします S3 バケットブラウザ A1 A2 A3 A4 B1 B2

rights reserved. 脅威をリストアップする優先順位脅威 ID 脅威ステートメント要素 STRIDE T01 似たようなドメイン名を持つ脅威アクターが、ユーザーを騙して偽のエンドポイントとやり取りさせることで、正当な API リクエストを傍受し、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。ユーザー S T02 ⼗分な権限を持つ IAM ロールを引き受けることができる脅威アクターが、DynamoDB テーブルに保存されているデータを改ざんし、⾞両登録、⾞両リスト、登録状況の機密性が低下する可能性がある。テーブル T T03 正規ユーザーとAmazon S3 バケット間で転送中のデータにアクセスできる脅威アクターが、そのデータの読み取りや変更を⾏うことで、⾞両登録関連⽂書の機密性や完全性が低下する可能性がある。オブジェクトバケット T T04 ⾞両登録を⾏うことができる脅威アクターが、⾞両登録を⾏っていないと主張することで、脅威アクターが⾞両登録に関連する⾦銭的請求に異議を唱えることになり、請求の完全性が低下する可能性がある。ユーザー R T05 API リクエストを⾏うことができる認証済みの脅威アクターが、本来読み取りを許可されるべきでない情報を読み取ることで、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の機密性が低下する可能性がある。 API Gateway I T06 AWS Lambda 関数のログにアクセスできる脅威アクターが、ログ内に取り込まれた機密データを⾒つけることで、⾞両登録、⾞両リスト、登録状況、⾞両登録書類の機密性が低下する可能性がある。 Lambda I T07 DynamoDB テーブルの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、データを削除することで、⾞両登録、⾞両リスト、登録状況の可⽤性が低下する可能性がある。テーブル D T08 S3 バケットの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、Amazon S3 バケット内のデータを削除させることで、⾞両登録関連書類の可⽤性が低下する可能性がある。オブジェクトバケット D T09 正規ユーザーとAPI Gateway間のネットワークトラフィックを修正する権限を持つ脅威アクターが API パラメータ⼊⼒を操作することで、API Gateway が他のユーザーのリソース上でアクションを実⾏し、その結果、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の完全性と機密性が低下する可能性がある。 API Gateway E T10 脅威アクターが認可ロジックのエラーを利⽤することで、本来許可されるべきでないアクションを実⾏できるようになり、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。 Lambda E 必要な項⽬︓優先順位、脅威ID、脅威ステートメント、要素、当てはまったSTRIDEのカテゴリ

rights reserved. 脅威に優先順位をつける洗い出した脅威に対して「⾼」「中」「低」で優先順位をつける。発⽣する可能性がある問題に優先順位を付けるにはいくつかの⽅法がある。例えば、発⽣する影響に対して対策のコストがはるかに上回るのであれば対策の優先度を下げるという⽅法が取れる。投資収益率 (ROI) が最も⾼いものを優先順位として⾼くする。優先順位脅威 ID 脅威ステートメント要素 STRIDE 「⾼」「中」「低」 T01 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって[脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。ユーザー S … … … … …

rights reserved. Step 3︓洗い出した脅威への対応私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. リスクへの対応戦略対応戦略対策内容対策例 1. 回避何らかの変更を加えることによって、リスクを排除する。つまり、そのリスクの可能性をゼロにするか、その重⼤性を無関係にする。実装⽅法を完全に変更するなど 2. 低減 (コントロール) リスクを許容可能なレベルまで積極的に低減する。脆弱性の可能性を低くするように設計された⼿法（セキュアな設計、特定のプログラミング⾔語、 APIなど）を使⽤するなど。例えば、転送中のデータを暗号化することで、脅威アクターにプレーンテキストのメッセージを⾒られる可能性を低減することが可能。また有効期間の短い認証情報を使⽤することは、脅威アクターが認証情報を使⽤できる期間が限られるため脅威アクターが認証情報にアクセスした場合の影響を低減する対策の例。 3. 移転リスクを他の第三者に転嫁すること。サイバー保険に加⼊したり別の第三者の管理するコンポーネントに変更するなど。例えば、AWSのマネージドサービスを利⽤することはAWSの責任共有モデルによりシステムリスクの責任の⼀部をAWSに転嫁したものと考えることもできる。 4. 許容あえてリスクを受容すること。リスクを緩和するためにかかるコストがリスクを悪⽤された場合の代償よりも⼤きい場合や、リスクに対処するためのコストで競争上の優位性を失うことになる場合は、あえてリスクを許容することも考えられる。リスクが発⽣した場合の影響よりもリスクを回避、低減するコストの⽅が⾼い場合はリスクを受容し、発⾒的統制に注⼒する。洗い出した問題を全部直すわけではない。リスク分析をして、以下の4つの対応戦略から選ぶ

rights reserved. 対策番号緩和対策対策の対象 M-001 転送中のデータを保護する T01、T03、T09 M-002 適切な情報のみを返すように API Gateway API レスポンスを設定する T05 M-003 Amazon CloudWatch Logs で機密データを保護する T06 M-004 AWS のモニタリングとログ記録を使⽤する T04 M-005 すべての⼊⼒を検証する:「⼊⼒検証は、ソフトウェアシステムコンポーネントに適切な形式のデータのみが⼊⼒されるようにするプログラミング技法です」 T05、T09 M-006 AWS Certificate Manager (ACM) を使⽤してパブリックおよびプライベートの SSL/TLS 証明書をプロビジョニング、管理、デプロイする T01 M-007 重要リソースへのアクセスを管理し、最⼩特権アクセス許可を適⽤する T02、T07、T08 M-008 保管中のデータを保護する T07、T08 M-009 データをバックアップする T07、T08 M-010 セキュリティ管理策のテストと検証を⾃動化する T09、T10 M-011 ユーザーの認証に Cognito と API Gateway を使⽤する T05、T09、T10 M-012 IAM でのセキュリティのベストプラクティスを使⽤して、AWS アカウントとリソースへのアクセスを管理する T02、T06、T07、T08 M-013 S3 の署名付き URL の機能を制限する T03 M-014 Cognito を使⽤してユーザー認証を⾏う T09 M-015 サインインに堅牢なメカニズムを使⽤する T09 M-016 Amazon Macie を使って機密データを発⾒し、保護する M-017 AWS Web Application Firewall と AWS Shield を使⽤する M-018 予期しない、あるいは望ましくない設定変更を検出し、予期しない動作を検出する M-019 API Gateway で Lambda 統合を設定する M-020 API リクエストを調整する M-021 発⾒的コントロールを使⽤して、潜在的なセキュリティ脅威やインシデントを特定する M-022 脆弱性管理を⾏う M-023 コストを積極的に監視するリスク低減対策をリストアップする脅威リストと同様に、リスクの対策もリストアップする

rights reserved. 完成した脅威・対策のリストの例優先順位脅威 ID 脅威ステートメント要素 STRIDE 考えられる対策⾼ T01 似たようなドメイン名を持つ脅威アクターが、ユーザーを騙して偽のエンドポイントとやり取りさせることで、正当な API リクエストを傍受し、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。ユーザー S M-001、M-006 中 T02 ⼗分な権限を持つ IAM ロールを引き受けることができる脅威アクターが、DynamoDB テーブルに保存されているデータを改ざんし、⾞両登録、⾞両リスト、登録状況の機密性が低下する可能性がある。テーブル T M-007、M-012 低 T03 正規ユーザーとAmazon S3 バケット間で転送中のデータにアクセスできる脅威アクターが、そのデータの読み取りや変更を⾏うことで、⾞両登録関連⽂書の機密性や完全性が低下する可能性がある。オブジェクトバケット T M-001、M-013 ⾼ T04 ⾞両登録を⾏うことができる脅威アクターが、⾞両登録を⾏っていないと主張することで、脅威アクターが⾞両登録に関連する⾦銭的請求に異議を唱えることになり、請求の完全性が低下する可能性がある。ユーザー R M-004 ⾼ T05 API リクエストを⾏うことができる認証済みの脅威アクターが、本来読み取りを許可されるべきでない情報を読み取ることで、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の機密性が低下する可能性がある。 API Gateway I M-002、M-005、 M-011 中 T06 AWS Lambda 関数のログにアクセスできる脅威アクターが、ログ内に取り込まれた機密データを⾒つけることで、⾞両登録、⾞両リスト、登録状況、⾞両登録書類の機密性が低下する可能性がある。 Lambda I M-003、M-012 低 T07 DynamoDB テーブルの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、データを削除することで、⾞両登録、⾞両リスト、登録状況の可⽤性が低下する可能性がある。テーブル D M-007、M-008、 M-009、M-012 中 T08 S3 バケットの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、Amazon S3 バケット内のデータを削除させることで、⾞両登録関連書類の可⽤性が低下する可能性がある。オブジェクトバケット D M-007、M-008、 M-009、M-012 中 T09 正規ユーザーとAPI Gateway間のネットワークトラフィックを修正する権限を持つ脅威アクターが API パラメータ⼊⼒を操作することで、API Gateway が他のユーザーのリソース上でアクションを実⾏し、その結果、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の完全性と機密性が低下する可能性がある。 API Gateway E M-001、M-005、 M-010、M-011、 M-014、M-015 中 T10 脅威アクターが認可ロジックのエラーを利⽤することで、本来許可されるべきでないアクションを実⾏できるようになり、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。 Lambda E M-005、M-010、 M-011 脅威への対策が決まったら、具体的な TODO項⽬（JIRAのチケットなど）にして、対策を実施する

rights reserved. Step 4︓対応の評価私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価

rights reserved. 脅威モデリングフライホイール脅威モデリングは⼀回だけでなく、定期的かつ継続的に実施することが重要脅威モデルは⽣きている⽂書として扱う必要がある • システムの変更、新機能やコンポーネント作成時など、脅威モデリングを⾏うことを推奨 • 最初は不慣れでも、繰り返すことでよりスムーズに進められるようになる • 振り返りで良かった点や改善点を洗い出し、プロセスの改善も可能

rights reserved. プロセスの有⽤性を評価する 41 脅威モデルを評価するには、そのモデルが、「何に取り組んでいるのか」「どのような問題が起きる可能性があるのか」「どのように対処するのか」という質問に⼗分に答えられるかどうかを検証する必要がある私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価適切なリソース (図表作成ツール、ホワイトボードなど) を⽤意できたか︖システムをきちんと理解できたか︖

rights reserved. プロセスの有⽤性を評価する 42 脅威モデルを評価するには、そのモデルが、「何に取り組んでいるのか」「どのような問題が起きる可能性があるのか」「どのように対処するのか」という質問に⼗分に答えられるかどうかを検証する必要がある私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価脅威を⾒つけられたか︖⾒つかった脅威の数は予想より多かった・少なかったか︖

rights reserved. プロセスの有⽤性を評価する 43 脅威モデルを評価するには、そのモデルが、「何に取り組んでいるのか」「どのような問題が起きる可能性があるのか」「どのように対処するのか」という質問に⼗分に答えられるかどうかを検証する必要がある私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価⾒つかった対策の数はどのくらいだったか︖実施した対策によって、⾒つかった脅威を⼗分に緩和できたか︖

rights reserved. プロセスの有⽤性を評価する 44 脅威モデルを評価するには、そのモデルが、「何に取り組んでいるのか」「どのような問題が起きる可能性があるのか」「どのように対処するのか」という質問に⼗分に答えられるかどうかを検証する必要がある私たちは何に取り組んでいるのか︖ 何が問題になり得るのか︖ 私たちはそれに対して何をするべきか︖ それは⼗分に良い仕事だったか︖ What are we working on? What can go wrong? What are we going to do about it? Did we do a good enough job? ワークロードの図式化想定される脅威の洗い出し想定される脅威への対応対応の評価脅威モデリングのプロセスは、システムの安全性を⾼め、改善できたか︖

rights reserved. 参考資料 • AWS ビルダーのための脅威モデリング：AWS公式ドキュメントの脅威モデリングチュートリアル・推奨リソース • https://catalog.workshops.aws/threatmodel/ja-JP • Microsoft Threat Modeling Tool の脅威：STRIDEに関する記事 • https://learn.microsoft.com/ja-jp/azure/security/develop/threat-modeling-tool- threats

rights reserved. ワークショップによる実践

rights reserved. ワークショップコンテンツビルダーのための脅威モデリング • https://catalog.workshops.aws/threatmodel/ja-JP • 原題 ʻThreat modeling for buildersʼ の⽇本語訳版のプレビュー

rights reserved. ワークショップの題材 AWS 上で構築される仮想のワークロード「AWS Connected Vehicle Solution」あくまで題材であり、本ワークロードの構成を網羅的に把握していただく必要はありません機能要件 • IoT 接続車両 • 車両登録 • ドライバー登録 • 診断エラーコードの取得 • 接続車両から当社 AWS ソリューションへの走行データ送信など https://catalog.workshops.aws/threatmodel/ja-JP/case- study

rights reserved. Exercise 1: DFD の作成 https://catalog.workshops.aws/threatmodel/ja-JP/what-are- we-working-on/exercise • ”AWS Connected Vehicle Solution” の中で、「⾞両登録機能」に着⽬します • Front: Amplify, Cognito, API GW • Back: Lambda, DynamoDB, S3 • データフロー図 (DFD) のステップ 1 ~ 5 を実施し、データフロー図を完成させます

rights reserved. 参照⽤ DFD https://catalog.workshops.aws/threatmodel/ja-JP/what-can- go-wrong/reference-data-flow-diagram ワークショップでは参照⽤データフロー図 (DFD) を⽤います • 要素 • Human Actor (External Entity) • User • Process • API Gateway • Lambda • DataStore • DynamoDB Tables • S3 Bucket, Object • データフロー • Tokens, API Method, Data, Object • GUIDs • … • 信頼境界 • Vehicle Registration • API • … ⾞両登録機能のデータフロー図

rights reserved. Exercise 2: 脅威分析 https://catalog.workshops.aws/threatmodel/ja-JP/what-can- go-wrong/exercise 参照⽤ DFD と、STRIDE (STRIDE-per-Element チャート) を使って、脅威リストを作成します <⽬安時間: 30 分> グループワークのアウトプット脅威リストには、 • 優先順位 • 脅威 ID • 脅威ステートメント • 要素 • STRIDE を記載

rights reserved. [再掲] 分析⼿法とツール ⑤ サービス拒否 DoS ② 改ざん Tampering ① スプーフィング Spoofing ④ 情報漏洩 Information Disclosure ⑥ 権限の昇格 EoP ③ 否認 Repudiation STRIDE 機密性に影響を与える信頼性に影響する完全性に影響を与える可⽤性に影響する影響否認防⽌影響認可 1. Spoofing・スプーフィング：ID のなりすましでは、どのような認証脅威が発生する可能性があるか 2. Tampering・改ざん：移動中か保管中かを問わず、データの改ざんにつながるインテグリティの脅威にはどのようなものがあるか 3. Repudiation・否認：発生する可能性のあるアクションを拒否する原因となる監査上の脅威の種類（アクションを拒否したり、発生したアクションを隠したりできる） 4. Information Disclosure・情報漏洩：どのような機密保持の脅威が発生して情報開示につながる可能性があるか 5. Denial of Service・サービス拒否：どのような種類の可用性脅威が発生してサービス拒否の脅威が発生する可能性があるか 6. Elevation of Privilege・権限の昇格：権限昇格ではどのような権限の脅威が発生する可能性がありますか脅威モデリングの分析⼿法として STRIDEがよく⽤いられる

rights reserved. [再掲] STRIDEとデータフロー図の各コンポーネントサービス拒否 DoS 改ざん Tampering スプーフィング Spoofing 情報漏洩 Information Disclosure 権限の昇格 EoP 否認 Repudiation STRIDE 機密性に影響を与える信頼性に影響する完全性に影響を与える可⽤性に影響する影響否認防⽌影響認可 STRIDEの各カテゴリの脅威の対象となる要素は下記の表に⽰すように⼤体決まっている

rights reserved. [S]TRIDE : スプーフィングの脅威を⾒つける 54 STRIDE per Element を参照すると、スプーフィングの脅威の対象の⼀つとして外部エンティティとヒューマンアクターがあることがわかる。脅威 ID 脅威ステートメント要素 STRIDE T01 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。ユーザー S … … ユーザー S

rights reserved. S[T]RIDE : 改ざんの脅威を⾒つける 55 STRIDE per Element を参照すると、改ざんの脅威の対象の⼀つとしてデータストアがあることがわかる。ゲームデータバックアップ機能のシステムモデルで定義されているデータストアはテーブルとオブジェクトバケットである。脅威 ID 脅威ステートメント要素 STRIDE T02 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。テーブル T T03 … オブジェクトバケット T

rights reserved. ST[R]IDE : 否認の脅威を⾒つける 56 脅威 ID 脅威ステートメント要素 STRIDE T04 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。ユーザー R … … ユーザー R STRIDE per Element を参照すると、否認の脅威の対象の⼀つとして外部エンティティとヒューマンアクターがあることがわかる。

rights reserved. STR[I]DE : 情報漏洩の脅威を⾒つける 57 脅威 ID 脅威ステートメント要素 STRIDE T05 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。 API Gateway I T06 … Lambda I … … … I STRIDE per Element を参照すると、情報漏洩の脅威の対象の⼀つとしてプロセスがあることがわかる。ゲームデータバックアップ機能のシステムモデルで定義されているプロセスは API Gateway と Lambda である。

rights reserved. STRI[D]E : サービス拒否の脅威を⾒つける 58 脅威 ID 脅威ステートメント要素 STRIDE T07 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。テーブル D T08 … オブジェクトバケット D STRIDE per Element を参照すると、サービス拒否の脅威の対象の⼀つとしてデータストアがあることがわかる。ゲームデータバックアップ機能のシステムモデルで定義されているデータストアはテーブルとオブジェクトバケットである。

rights reserved. STRID[E] : 権限の昇格の脅威を⾒つける 59 脅威 ID 脅威ステートメント要素 STRIDE T09 [前提条件] を満たす [脅威の発⽣源] が、[脅威アクション] によって [脅威による影響] につながり、その結果 [影響を受ける資産] に悪影響が及ぶ可能性がある。 API Gateway E T10 … Lambda E STRIDE per Element を参照すると、権限の昇格の脅威の対象はプロセスのみであることがわかる。ゲームデータバックアップ機能のシステムモデルで定義されているプロセスは API Gateway と Lambda である。

rights reserved. [再掲] 脅威をリストアップする優先順位脅威 ID 脅威ステートメント要素 STRIDE T01 似たようなドメイン名を持つ脅威アクターが、ユーザーを騙して偽のエンドポイントとやり取りさせることで、正当な API リクエストを傍受し、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。ユーザー S T02 ⼗分な権限を持つ IAM ロールを引き受けることができる脅威アクターが、DynamoDB テーブルに保存されているデータを改ざんし、⾞両登録、⾞両リスト、登録状況の機密性が低下する可能性がある。テーブル T T03 正規ユーザーとAmazon S3 バケット間で転送中のデータにアクセスできる脅威アクターが、そのデータの読み取りや変更を⾏うことで、⾞両登録関連⽂書の機密性や完全性が低下する可能性がある。オブジェクトバケット T T04 ⾞両登録を⾏うことができる脅威アクターが、⾞両登録を⾏っていないと主張することで、脅威アクターが⾞両登録に関連する⾦銭的請求に異議を唱えることになり、請求の完全性が低下する可能性がある。ユーザー R T05 API リクエストを⾏うことができる認証済みの脅威アクターが、本来読み取りを許可されるべきでない情報を読み取ることで、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の機密性が低下する可能性がある。 API Gateway I T06 AWS Lambda 関数のログにアクセスできる脅威アクターが、ログ内に取り込まれた機密データを⾒つけることで、⾞両登録、⾞両リスト、登録状況、⾞両登録書類の機密性が低下する可能性がある。 Lambda I T07 DynamoDB テーブルの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、データを削除することで、⾞両登録、⾞両リスト、登録状況の可⽤性が低下する可能性がある。テーブル D T08 S3 バケットの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、Amazon S3 バケット内のデータを削除させることで、⾞両登録関連書類の可⽤性が低下する可能性がある。オブジェクトバケット D T09 正規ユーザーとAPI Gateway間のネットワークトラフィックを修正する権限を持つ脅威アクターが API パラメータ⼊⼒を操作することで、API Gateway が他のユーザーのリソース上でアクションを実⾏し、その結果、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の完全性と機密性が低下する可能性がある。 API Gateway E T10 脅威アクターが認可ロジックのエラーを利⽤することで、本来許可されるべきでないアクションを実⾏できるようになり、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。 Lambda E 必要な項⽬︓優先順位、脅威ID、脅威ステートメント、要素、当てはまったSTRIDEのカテゴリ

rights reserved. Exercise 3: 対処 https://catalog.workshops.aws/threatmodel/ja-JP/what-are- we-going-to-do-about-it/exercise 作成した脅威リストに対し、緩和策の洗い出しと選択を⾏います <⽬安時間: 30 分> グループワークのアウトプット • 考えられる対策 • 選択した対策 • 緩和されたかを追加で記載

rights reserved. [再掲] リスクへの対応戦略対応戦略対策内容対策例 1. 回避何らかの変更を加えることによって、リスクを排除する。つまり、そのリスクの可能性をゼロにするか、その重⼤性を無関係にする。実装⽅法を完全に変更するなど 2. 低減 (コントロール) リスクを許容可能なレベルまで積極的に低減する。脆弱性の可能性を低くするように設計された⼿法（セキュアな設計、特定のプログラミング⾔語、 APIなど）を使⽤するなど。例えば、転送中のデータを暗号化することで、脅威アクターにプレーンテキストのメッセージを⾒られる可能性を低減することが可能。また有効期間の短い認証情報を使⽤することは、脅威アクターが認証情報を使⽤できる期間が限られるため脅威アクターが認証情報にアクセスした場合の影響を低減する対策の例。 3. 移転リスクを他の第三者に転嫁すること。サイバー保険に加⼊したり別の第三者の管理するコンポーネントに変更するなど。例えば、AWSのマネージドサービスを利⽤することはAWSの責任共有モデルによりシステムリスクの責任の⼀部をAWSに転嫁したものと考えることもできる。 4. 許容あえてリスクを受容すること。リスクを緩和するためにかかるコストがリスクを悪⽤された場合の代償よりも⼤きい場合や、リスクに対処するためのコストで競争上の優位性を失うことになる場合は、あえてリスクを許容することも考えられる。リスクが発⽣した場合の影響よりもリスクを回避、低減するコストの⽅が⾼い場合はリスクを受容し、発⾒的統制に注⼒する。洗い出した問題を全部直すわけではない。リスク分析をして、以下の4つの対応戦略から選ぶ

rights reserved. 対策番号緩和対策対策の対象 M-001 転送中のデータを保護する T01、T03、T09 M-002 適切な情報のみを返すように API Gateway API レスポンスを設定する T05 M-003 Amazon CloudWatch Logs で機密データを保護する T06 M-004 AWS のモニタリングとログ記録を使⽤する T04 M-005 すべての⼊⼒を検証する:「⼊⼒検証は、ソフトウェアシステムコンポーネントに適切な形式のデータのみが⼊⼒されるようにするプログラミング技法です」 T05、T09 M-006 AWS Certificate Manager (ACM) を使⽤してパブリックおよびプライベートの SSL/TLS 証明書をプロビジョニング、管理、デプロイする T01 M-007 重要リソースへのアクセスを管理し、最⼩特権アクセス許可を適⽤する T02、T07、T08 M-008 保管中のデータを保護する T07、T08 M-009 データをバックアップする T07、T08 M-010 セキュリティ管理策のテストと検証を⾃動化する T09、T10 M-011 ユーザーの認証に Cognito と API Gateway を使⽤する T05、T09、T10 M-012 IAM でのセキュリティのベストプラクティスを使⽤して、AWS アカウントとリソースへのアクセスを管理する T02、T06、T07、T08 M-013 S3 の署名付き URL の機能を制限する T03 M-014 Cognito を使⽤してユーザー認証を⾏う T09 M-015 サインインに堅牢なメカニズムを使⽤する T09 M-016 Amazon Macie を使って機密データを発⾒し、保護する M-017 AWS Web Application Firewall と AWS Shield を使⽤する M-018 予期しない、あるいは望ましくない設定変更を検出し、予期しない動作を検出する M-019 API Gateway で Lambda 統合を設定する M-020 API リクエストを調整する M-021 発⾒的コントロールを使⽤して、潜在的なセキュリティ脅威やインシデントを特定する M-022 脆弱性管理を⾏う M-023 コストを積極的に監視する [再掲] リスク低減対策をリストアップする脅威リストと同様に、リスクの対策もリストアップする

rights reserved. [再掲] 完成した脅威・対策のリストの例優先順位脅威 ID 脅威ステートメント要素 STRIDE 考えられる対策⾼ T01 似たようなドメイン名を持つ脅威アクターが、ユーザーを騙して偽のエンドポイントとやり取りさせることで、正当な API リクエストを傍受し、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。ユーザー S M-001、M-006 中 T02 ⼗分な権限を持つ IAM ロールを引き受けることができる脅威アクターが、DynamoDB テーブルに保存されているデータを改ざんし、⾞両登録、⾞両リスト、登録状況の機密性が低下する可能性がある。テーブル T M-007、M-012 低 T03 正規ユーザーとAmazon S3 バケット間で転送中のデータにアクセスできる脅威アクターが、そのデータの読み取りや変更を⾏うことで、⾞両登録関連⽂書の機密性や完全性が低下する可能性がある。オブジェクトバケット T M-001、M-013 ⾼ T04 ⾞両登録を⾏うことができる脅威アクターが、⾞両登録を⾏っていないと主張することで、脅威アクターが⾞両登録に関連する⾦銭的請求に異議を唱えることになり、請求の完全性が低下する可能性がある。ユーザー R M-004 ⾼ T05 API リクエストを⾏うことができる認証済みの脅威アクターが、本来読み取りを許可されるべきでない情報を読み取ることで、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の機密性が低下する可能性がある。 API Gateway I M-002、M-005、 M-011 中 T06 AWS Lambda 関数のログにアクセスできる脅威アクターが、ログ内に取り込まれた機密データを⾒つけることで、⾞両登録、⾞両リスト、登録状況、⾞両登録書類の機密性が低下する可能性がある。 Lambda I M-003、M-012 低 T07 DynamoDB テーブルの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、データを削除することで、⾞両登録、⾞両リスト、登録状況の可⽤性が低下する可能性がある。テーブル D M-007、M-008、 M-009、M-012 中 T08 S3 バケットの変更権限を持つ IAM プリンシパルにアクセスできる脅威アクターが、Amazon S3 バケット内のデータを削除させることで、⾞両登録関連書類の可⽤性が低下する可能性がある。オブジェクトバケット D M-007、M-008、 M-009、M-012 中 T09 正規ユーザーとAPI Gateway間のネットワークトラフィックを修正する権限を持つ脅威アクターが API パラメータ⼊⼒を操作することで、API Gateway が他のユーザーのリソース上でアクションを実⾏し、その結果、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類の完全性と機密性が低下する可能性がある。 API Gateway E M-001、M-005、 M-010、M-011、 M-014、M-015 中 T10 脅威アクターが認可ロジックのエラーを利⽤することで、本来許可されるべきでないアクションを実⾏できるようになり、⾞両登録、⾞両リスト、登録状況、⾞両登録関連書類に悪影響を及ぼす可能性がある。 Lambda E M-005、M-010、 M-011 脅威への対策が決まったら、具体的な TODO項⽬（JIRAのチケットなど）にして、対策を実施する

rights reserved. Q&A

脅威モデリングワークショップ

脅威モデリングワークショップ

More Decks by Zenta Hori

Featured

Transcript