Definition Threat Modeling Was ist Threat Modeling?

Threat Modeling ist ein strukturierter Ansatz und konzeptionelles Vorgehen zur Analyse potenzieller Sicherheitsbedrohungen von IT-Systemen, Anwendungen oder Daten und zur Ableitung geeigneter Gegenmaßnahmen. Für die Bedrohungsmodellierung kommen Techniken und Frameworks wie STRIDE oder PASTA zum Einsatz.

Die deutsche Übersetzung für den englischen Fachbegriff "Threat Modeling" lautet "Bedrohungsmodellierung". Beim Threat Modeling handelt es sich um eine konzeptionelle Vorgehensweise und einen strukturierten Ansatz zur Analyse potenzieller Bedrohungen von IT-Systemen, Anwendungen, Prozessen, Daten oder anderen Bereichen, Komponenten und Abläufen in einer IT-Umgebung. Mithilfe der Bedrohungsmodellierung lassen sich potenzielle Schwachstellen frühzeitig und proaktiv aufspüren und daraus geeignete Gegenmaßnahmen zur Bedrohungsabwehr ableiten. Mithilfe der strukturierten Vorgehensweise werden Fragen beantwortet wie "An welchen Stellen sind Systeme für Angriffe verwundbar", "Welche relevanten Bedrohungen gibt es?" und "Wie lassen sich die Systeme vor diesen schützen?"

Häufig findet das Threat Modeling bereits in der Entwicklungsphase einer Anwendung oder eines Systems statt. Die durch das Threat Modeling identifizierten und quantifizierten Risiken werden im weiteren Verlauf kommuniziert und zum Beispiel dem Risikomanagement übergeben.

Die Ziele und Vorteile des Threat Modeling

Wichtigstes Ziel der Bedrohungsmodellierung ist die Verbesserung der Sicherheit der analysierten Systeme, Anwendungen, Daten oder Prozesse. Potenzielle Bedrohungen und Risiken für geschäftskritische Systeme sollen sich durch Threat Modeling besser erkennen, einschätzen und abwehren lassen. Die Bedrohungsmodellierung stellt den Sicherheitsteams durch die systematische Analyse einen Rahmen bereit und informiert strukturiert, welche potenziellen Bedrohungen bestehen, wie Angriffe ablaufen könnten und welche Abwehrmaßnahmen getroffen werden müssen. Durch das Ableiten und richtige Priorisieren entsprechender Gegenmaßnahmen reduziert sich die Eintrittswahrscheinlichkeit bedrohungsbedingter Schadereignisse und die Verfügbarkeit der Systeme oder Anwendungen kann gesteigert werden.

Kurz zusammengefasst sind die Ziele und Vorteile der Bedrohungsmodellierung folgende:

• Verbesserung der IT-Sicherheit

• Entwicklung sicherer Produkte

• tieferes Verständnis und höhere Transparenz bezüglich der Sicherheit der Anwendungen und IT-Systeme

• frühzeitiges Identifizieren der potenziellen Bedrohungen und erforderlichen Sicherheitsmaßnahmen

• richtige Priorisierung der Sicherheitsrisiken und der zu treffenden Abwehrmaßnahmen

• Verhinderung falscher und sicherheitskritischer Architektur- und Designentscheidungen schon im Entwicklungsprozess

• Unterstützung bei der Erfüllung von gesetzlichen Anforderungen oder Compliance-Richtlinien hinsichtlich IT-Sicherheit und Datenschutz

• Einsparung von Kosten und Verhinderung von Reputationsschäden durch frühzeitiges Erkennen und Beseitigen von potenziellen Schwachstellen

Anwendungsbereiche der Bedrohungsmodellierung und Zeitpunkt der Durchführung

Grundsätzlich ist das Threat Modeling nicht auf den IT-Bereich beschränkt und kann bei jeglichen zu schützenden Assets, wie Produktionsanlagen oder Gebäuden, und beliebigen Prozessen zum Einsatz kommen. Im IT-Umfeld ist Threat Modeling überall dort anwendbar, wo Bedrohungen der IT-Sicherheit entstehen können. Die Bedrohungsmodellierung ist in ihrem Anwendungsbereich kaum eingeschränkt und lässt sich prinzipiell auf nahezu alle IT-Bereiche und IT-Komponenten anwenden. Typische Anwendungsbereiche sind Applikationen, Software, Hardware, Systeme, Prozesse, Netzwerke, Schnittstellen oder Daten.

Der Zeitpunkt der Durchführung der Bedrohungsmodellierung wird üblicherweise möglichst früh gewählt. Oft beginnt er bereits in der Konzeptions-, Design und Entwicklungsphase eines Produkts. Denn je früher potenzielle Bedrohungen systematisch erkannt und erfasst werden, desto leichter lassen sich entsprechende Gegenmaßnahmen ergreifen und kostspielige Design- oder Architekturfehler vermeiden. Threat Modeling ist aber auch in der Implementierungs- und Betriebsphase anwendbar und kann auch in diesen späteren Phasen zu einer maßgeblichen Verbesserung der Cybersicherheit beitragen. Je nach Phase der Durchführung können sich die konkreten Inhalte der Bedrohungsmodellierung unterscheiden.

Prinzipielle Vorgehensweise beim Threat Modeling

Die prinzipielle Vorgehensweise beim Threat Modeling lässt sich in mehrere Schritte gliedern. Die zu durchlaufenden Prozessschritte sind durch die Beantwortung der folgende vier grundlegenden Fragen charakterisiert:

• 1. Was soll geschützt werden beziehungsweise woran wird gearbeitet?

• 2. Welche Bedrohungen können entstehen beziehungsweise was kann dabei schiefgehen?

• 3. Was kann gegen die Bedrohungen getan werden?

• 4. Können die getroffenen Maßnahmen als erfolgreich bewertet werden?

Entsprechend dieser Fragestellungen beginnt die Bedrohungsmodellierung zunächst mit der Identifizierung des zu schützenden beziehungsweise des zu analysierenden Systems. Das System wird logisch in seine Funktionskomponenten oder Einzelbestandteile zerlegt und beispielsweise über System- und Datenflussdiagramme möglichst genau beschrieben. Im nächsten Schritt werden die potenziellen Bedrohungen entlang dieser Funktionskomponenten, Einzelbestandteile und Diagramme ermittelt. Typische Fragestellungen sind: An welchen Stellen sind Angriffe möglich und wahrscheinlich, wie hoch sind die Risiken und welche Auswirkungen können sie haben? Sind die Bedrohungen ermittelt und mögliche Risiken eingestuft und bewertet, werden sie entsprechend ihrer möglichen Auswirkungen priorisiert. Gemäß der Priorisierung werden Gegenmaßnahmen zur Abwehr und Schadensbegrenzung abgeleitet. Im letzten Schritt untersucht die Bedrohungsmodellierung, ob die abgeleiteten Gegenmaßnahmen tatsächlich wirksam und erfolgreich sind. Wichtig anzumerken ist, dass es sich bei den beschriebenen Schritten nicht um einen einmaligen Prozess handelt. Die Prozessschritte müssen immer wieder neu durchlaufen werden. Aufgrund der dynamischen Bedrohungslandschaft ist auch die Bedrohungsmodellierung ein dynamischer, kontinuierlicher und iterativer Prozess. Threat Modeling kann niemals als abgeschlossen betrachtet werden.

Smart, aber schutzlos

Mit einem Reifegradmodell mehr Sicherheit im IoT schaffen

Überblick über bewährte Methoden, Frameworks und Techniken des Threat Modeling wie PASTA und STRIDE

Zur Durchführung der Bedrohungsmodellierung gibt es eine ganze Reihe an bewährten Methoden, Frameworks und Techniken. Zu den bekanntesten zählen PASTA und STRIDE.

PASTA ist die Kurzschreibweise für "Process for Attack Simulation and Threat Analysis". Es handelt sich um ein Framework, das den Prozess der Bedrohungsmodellierung in insgesamt sieben Schritte aufteilt. Konkret handelt es sich dabei um folgende Prozessschritte:

• Schritt 1: Definition der Ziele

• Schritt 2: Auflistung des technischen Umfangs und der verwendeten Technologien

• Schritt 3: Strukturierte Analyse und systematische Darstellung (Visualisierung) der Abläufe des zu untersuchenden Systems

• Schritt 4: Analyse möglicher Bedrohungen

• Schritt 5: Analyse bekannter Schwachstellen

• Schritt 6: Analyse der zu erwartenden Angriffe

• Schritt 7: Analyse der möglichen Risiken und schädlichen Auswirkungen

Das Kürzel STRIDE steht für (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege). STRIDE wurde bereits 1999 von Microsoft entwickelt und zählt zu den ältesten und am häufigsten verwendeten Frameworks für das Threat Modeling. Mithilfe des STRIDE-Frameworks lassen sich potenzielle Bedrohungen kategorisieren. Für jedes System und jede identifizierte Systemkomponente wird die Verwundbarkeit durch die Zuordnung einer bestimmten Bedrohungskategorie bewertet.

Die Anfangsbuchstaben von STRIDE stehen für die verschiedenen Bedrohungskategorien. Konkret bedeuten die sechs genannten Bedrohungskategorien Folgendes:

• 1. Spoofing: Vortäuschen einer falschen Identität zum Beispiel durch das Senden von Nachrichten mit gefälschten Absenderadressen

• 2. Tampering: Verfälschung, Manipulation oder Sabotage der Integrität von Daten beispielsweise von Konfigurationen oder Programmcode

• 3. Repudiation: Abstreiten der Verantwortlichkeit beispielsweise durch die nachträgliche Manipulation von Protokollen oder Logging-Daten

• 4. Information Disclosure: Offenlegung oder Weitergabe von vertraulichen oder sensiblen Informationen beispielsweise durch unbefugte Datenzugriffe

• 5. Denial of Service: Störung der Verfügbarkeit von Services, Ressourcen oder Systemen und Verhinderung deren legitimer Benutzung beispielsweise durch massenhafte Anfragen oder unbefugtes Deaktivieren

• 6. Elevation of Privilege: Unbefugte Ausweitung von Rechten und Erlangung von Zugriffsrechten beispielsweise durch das Ausnutzen von fehlenden Nutzer- und Berechtigungsprüfungen oder von Softwarefehlern

Neben PASTA und STRIDE gibt es noch einige weitere Methoden, Frameworks und Techniken der Bedrohungsmodellierung wie VAST (Visual, Agile and Simple Threat), OCTAVE (Operationally Critical Threat, Asset and Vulnerability Evaluation), Trike oder das NIST Cybersecurity Framework (Framework des National Institute of Standards and Technology) und andere.

(ID:50398006)