脅威モデリング

脅威モデリングは、作っている物の上で「何がまずくなりうるか」を、順を追って洗い出す作業です。決まった 1 つのやり方はありませんが、多くのやり方は 4 つの問いに答える形をとります。

1. 何を作っているのか
2. 何がまずくなりうるか
3. それに対して何をするか
4. 十分にできたか

この 4 つの問いは、脅威モデリングの実践者が共同で書いた「脅威モデリング宣言」の中心にあります。このレッスンでは、1 つ目と 2 つ目を図で考え、3 つ目と 4 つ目をラボと修正で確かめます。

守る物、入口、攻め手、対策

はじめに、守る物を決めます。メモ帳なら、メモの本文、ログインのパスワード、共有の設定です。守る物が決まると、そこへ届く入口が見えてきます。ログインの画面、メモを保存する API、共有のリンクです。

次に、入口ごとに攻め手を考えます。だれが、どの入口から、何をしようとするか。最後に、攻め手ごとに対策を選びます。

この順を逆にしないことが大切です。対策から考えると、手持ちの対策で守れる物だけを守った気になります。

流れ図と信頼の境目

「何を作っているか」は、データの流れ図で描きます。英語では Data Flow Diagram、略して DFD と呼ばれます。使う記号は 4 つだけです。

• 外の人や外のサービス。利用者や、メールを送る外の会社など
• 処理。サーバーの中のプログラム
• 置き場。データベースやファイル
• 流れ。データが動く向きを矢印で描く

この図に、信頼の境目を線で引きます。信頼の境目は、扱いの違う 2 つの領域の間の線です。ブラウザとサーバーの間、サーバーとデータベースの間、自分のサービスと外のサービスの間に引きます。

脅威は、境目をまたぐ流れに集まります。境目の外から来るデータは、だれが書いたか分からないからです。

6 つの型で数える

境目をまたぐ流れが見えたら、1 本ずつ 6 つの問いを当てます。6 つの型の英語の頭文字をとって、STRIDE と呼びます。

• なりすまし。他人のふりをして入る。崩れるのは認証
• 改ざん。データを書き換える。崩れるのは完全性
• 否認。やったことを、やっていないと言い張る。崩れるのは記録と追跡
• 情報漏えい。見せてはいけない物が見える。崩れるのは機密性
• サービス妨害。正しい利用者が使えなくなる。崩れるのは可用性
• 権限昇格。許された以上のことができてしまう。崩れるのは認可

6 つの型は、思いつきの代わりに問いを配る道具です。答えが「このサービスでは起きない」なら、その理由を 1 行で残します。理由が書けない所に、見落としが隠れています。

どれから直すか

挙げた脅威を全部すぐには直せません。順番は、起きやすさと、起きたときの痛さの 2 つで決めます。

起きやすさは、攻め手の手間で見ます。ログインせずに試せる、道具が出回っている、という脅威は起きやすい側です。痛さは、守る物の側で見ます。全員のメモが漏れるのと、1 人の表示が乱れるのとでは、重さが違います。