Методы моделирования угроз в информационной безопасности

«Часто считают, что моделирование угроз — это бумажная работа для регулятора. На деле это ядро проектирования реальной защиты. Оно переводит абстрактные требования в конкретные архитектурные решения, от выбора шифрования до политик аудита. Правильный метод превращает защиту из стоимости в конкурентное преимущество.»

Безопасность по умолчанию: SDL

Когда Microsoft создавала Security Development Lifecycle, целью было не добавить проверку, а перестроить процесс. Безопасность должна становиться неотъемлемым свойством продукта, таким же, как производительность. Вместо затратных исправлений готового кода SDL встраивает защитные меры в каждую фазу разработки. Фокус смещается с реагирования на инциденты на их системное предотвращение через стандартизацию.

Для проектов под требования 152-ФЗ экономический расчёт становится ключевым. Стоимость исправления уязвимости на этапе проектирования на порядки ниже, чем в production. Многие требования регуляторов — например, разделение потоков данных или обеспечение контроля целостности — проще и дешевле реализовать на бумаге, чем перекраивать работающую систему под давлением аудита. SDL формализует этот подход, требуя анализа угроз до начала кодирования и применения стандартов безопасной разработки на постоянной основе.

В российских реалиях внедрение SDL часто останавливается на кадровом вопросе. Это не установка сканера кода, а смена культуры. Для проектов, связанных с гостайной или КИИ, подобные процессы становятся обязательными. Фактически, грамотно выстроенный SDL создаёт фундамент для сертификации: каждый этап жизненного цикла ПО уже документирован с точки зрения минимизации рисков, что значительно упрощает подготовку доказательной базы.

Сетка угроз STRIDE

Таксономия STRIDE не открывает новые типы атак, а даёт аналитику структурированный язык. Её сила — в простоте и полноте. Вместо хаотичного поиска уязвимостей вы последовательно проверяете систему на соответствие шести фундаментальным свойствам.

Категория угрозы Нарушаемое свойство Ключевой вопрос для анализа
Spoofing (Маскировка) Аутентификация Может ли злоумышленник выдать себя за законного пользователя или систему?
Tampering (Вмешательство) Целостность Можно ли изменить данные или код без санкции?
Repudiation (Отказ от авторства) Неотказуемость Может ли пользователь отрицать совершённое действие?
Information Disclosure (Раскрытие информации) Конфиденциальность Возможен ли несанкционированный доступ к данным?
Denial of Service (Отказ в обслуживании) Доступность Можно ли сделать сервис недоступным для пользователей?
Elevation of Privilege (Повышение привилегий) Авторизация Может ли пользователь получить права выше отведённых?

Для специалиста, готовящего документы по требованиям ФСТЭК, сетка STRIDE становится мостом между языком регулятора и языком разработчика. Требование обеспечения доверенной загрузки напрямую закрывает угрозу Tampering. Необходимость вести детальный журнал аудита — это ответ на Repudiation. Применяя STRIDE на этапе проектирования, архитектор получает чек-лист, ответы на который позже лягут в раздел «Обоснование мер защиты» для сертификации.

Семиступенчатый анализ: PASTA

В отличие от таксономий вроде STRIDE, PASTA (Process for Attack Simulation and Threat Analysis) — это комплексная методология, связывающая бизнес-цели с техническим анализом. Её ключевой этап — Attack Simulation — принципиально меняет подход. Он превращает теоретический риск в практический эксперимент, показывая поведение системы под реальным воздействием.

Семь этапов PASTA создают логичную цепочку от бизнес-контекста к деталям реализации:

  1. Определение целей и контекста: Какие активы критичны для бизнеса и почему их нужно защищать?
  2. Определение технических границ: Что именно анализируется? Контуры системы, компоненты, внешние взаимодействия.
  3. Декомпозиция приложения: Детальное понимание архитектуры, потоков данных, используемых технологий.
  4. Анализ угроз: Выявление возможных источников атак (Threat Agents) и их мотивации.
  5. Анализ уязвимостей: Поиск слабых мест в реализации, конфигурации и зависимостях.
  6. Моделирование атак: Практическая попытка реализовать угрозы через найденные уязвимости.
  7. Анализ рисков и определение контрмер: Оценка вероятности и ущерба, планирование мер защиты.

В российской регуляторной практике особенно ценен этап моделирования. При сертификации недостаточно просто перечислить угрозы. Требуются доказательства устойчивости системы. Отчёт по PASTA, включающий сценарии смоделированных атак и анализ реакции, становится весомым аргументом. Это критично для объектов КИИ, где нужно продемонстрировать устойчивость к целевым атакам, а не только формальное соответствие.

Критические выводы

Выбор метода моделирования угроз — это выбор уровня анализа, а не следование моде. SDL — это стратегия для всей организации, инвестиция в культуру, окупающаяся снижением инцидентов и упрощением аудитов.

STRIDE — тактический инструмент для архитекторов. Это линза для систематического осмотра компонента, которая не даёт упустить очевидные угрозы.

PASTA — методика для глубокого, комплексного анализа, когда требуется не просто перечислить риски, а доказать их реальность или устойчивость системы к ним. Она наиболее ресурсоёмка, но и наиболее убедительна.

В контексте требований 152-ФЗ и ФСТЭК их логично применять последовательно: SDL закладывает базовые процессы. STRIDE используется на этапах проектирования и аудита для систематической оценки. PASTA запускается для финальной, детальной оценки рисков критически важной системы перед сертификацией. Такой подход позволяет создать многоуровневую защиту, способную противостоять не только гипотетическим, но и реальным угрозам.

Оставьте комментарий