Modelowanie zagrożeń: myśl jak atakujący

Czym jest modelowanie zagrożeń

Większość ludzi podchodzi do bezpieczeństwa reaktywnie: dzieje się coś złego, kupują narzędzie i mają nadzieję, że zapobiegnie ono następnemu incydentowi. Modelowanie zagrożeń odwraca tę logikę. To uporządkowany sposób myślenia o bezpieczeństwie, zanim coś pójdzie nie tak, oparty na czterech podstawowych pytaniach:

1. Co chronię?
2. Kto może chcieć to zaatakować?
3. Jak może to zrobić?
4. Jak ustalić priorytety obrony?

Modelowanie zagrożeń wywodzi się z inżynierii oprogramowania, ale jego podstawowe myślenie równie dobrze sprawdza się w bezpieczeństwie osobistym, sieciach domowych, małych firmach i infrastrukturze krytycznej.

Krok 1: zidentyfikuj swoje zasoby

Zacznij od spisania tego, co próbujesz chronić. Zasoby to nie tylko dane — to także systemy, reputacja, relacje i czas.

Dla osoby prywatnej zasobami mogą być:

• Konto e-mail (brama do wszystkich innych kont)
• Konta finansowe i zdolność kredytowa
• Dokumenty tożsamości i dane osobowe
• Prywatna korespondencja i zdjęcia
• Reputacja zawodowa

Dla małej firmy:

• Dane klientów i informacje płatnicze
• Własność intelektualna i kod źródłowy
• Dokumentacja pracownicza
• Ciągłość działania (zdolność do dalszego funkcjonowania)
• Reputacja marki

Uszeregowanie ich według ważności wymusza ustalenie priorytetów. Nie da się chronić wszystkiego jednakowo — najpierw chroń to, co najważniejsze.

Krok 2: zidentyfikuj przeciwników

Różni atakujący mają różne możliwości, motywacje i cele. Realistyczny model zagrożeń wymienia konkretne typy przeciwników, a nie mgliste „hakerów”.

Typowe profile przeciwników:

• Przestępcy oportunistyczni — zautomatyzowane boty i mało wprawni atakujący szukający łatwych celów. Skanują wystawione usługi, próbują haseł z wycieków i rozsyłają masowy phishing. Szybko odpuszczają, jeśli nie jesteś banalnie podatny.
• Przestępcy działający celowo — motywowani zyskiem i gotowi zainwestować czas. Grupy ransomware, gangi BEC (business email compromise) i złodzieje tożsamości.
• Zagrożenia wewnętrzne — rozgoryczeni pracownicy, podwykonawcy z nadmiernym dostępem lub nieuważni pracownicy, którzy popełniają błędy.
• Państwa — istotne tylko dla konkretnych celów o wysokiej wartości: kontraktorów rządowych, dziennikarzy zajmujących się wrażliwymi tematami, dysydentów czy menedżerów firm z infrastruktury krytycznej.
• Stalkerzy lub byli partnerzy stosujący przemoc — motywowani osobiście, mogą już znać Twoje nawyki i konta.

Większość osób prywatnych i małych firm mierzy się z dwoma pierwszymi. Trafna ocena, kto prawdopodobnie weźmie Cię na cel, zapobiega zarówno niedoinwestowaniu (ignorowaniu realnych zagrożeń), jak i przeinwestowaniu (budowaniu obrony na poziomie państwowym przeciw botom rozsyłającym spam).

Krok 3: zidentyfikuj wektory ataku

Jak przeciwnik realnie mógłby dotrzeć do Twoich zasobów? Typowe ścieżki ataku to:

• E-maile phishingowe — wciąż najczęstsza metoda początkowego dostępu, od ransomware po kradzież danych logowania
• Powtórnie używane lub ujawnione hasła — dane logowania ze starych wycieków użyte przeciw obecnym kontom
• Niezałatane oprogramowanie — znane podatności wykorzystane przed instalacją aktualizacji
• Socjotechnika — manipulowanie ludźmi zamiast systemami (podszywanie się pod dział IT, fałszywe telefony alarmowe)
• Dostęp fizyczny — odblokowane urządzenia, podglądanie przez ramię lub fizyczna obecność przeciwnika
• Łańcuch dostaw — przejęcie przez zaufanego dostawcę lub zależność oprogramowania

Dla każdego wektora zapytaj: czy jest realny w przypadku moich przeciwników? Czy mam zabezpieczenia, które go ograniczają?

Krok 4: oceń prawdopodobieństwo i skutki

Nie każde zagrożenie zasługuje na taką samą uwagę. Użyj prostej macierzy ryzyka:

• Wysokie prawdopodobieństwo + poważne skutki = zajmij się natychmiast
• Wysokie prawdopodobieństwo + niewielkie skutki = zajmij się w sposób opłacalny
• Niskie prawdopodobieństwo + poważne skutki = bądź świadomy, miej plan
• Niskie prawdopodobieństwo + niewielkie skutki = zaakceptuj ryzyko

Dla większości osób prywatnych pierwszym priorytetem powinny być powtarzające się hasła (wysokie prawdopodobieństwo, poważne skutki). Dla firmy medycznej priorytetem są niezaszyfrowane dane pacjentów w spoczynku (skutki regulacyjne i prawne) — niezależnie od prawdopodobieństwa wycieku.

Krok 5: dobierz środki zaradcze

Gdy wiesz, czego bronisz, kto atakuje i jak, możesz racjonalnie dobrać zabezpieczenia:

• Phishing → szkolenia z bezpieczeństwa, filtrowanie poczty, MFA
• Ujawnione hasła → menedżer haseł, unikalne hasła do każdej strony, monitorowanie wycieków
• Niezałatane oprogramowanie → automatyczne aktualizacje, inwentaryzacja zasobów, zarządzanie poprawkami
• Dostęp fizyczny → pełne szyfrowanie dysku, blokada ekranu, polityka czystego biurka
• Zagrożenie wewnętrzne → najmniejsze uprawnienia, logowanie dostępu, rozdzielenie obowiązków

Model STRIDE

Dla programistów i inżynierów bezpieczeństwa STRIDE to uporządkowany sposób kategoryzowania zagrożeń:

• Spoofing — podszywanie się pod innego użytkownika lub system
• Tampering — modyfikowanie danych w transmisji lub w spoczynku
• Repudiation — wypieranie się wykonania czynności
• Information disclosure — ujawnianie danych nieuprawnionym stronom
• Denial of service — uniemożliwienie korzystania z systemu
• Elevation of privilege — uzyskanie dostępu ponad przyznane uprawnienia

Zastosuj STRIDE do każdego komponentu systemu, by wydobyć zagrożenia, które inaczej mogłyby umknąć.

Praktycznie i bez przesady

Modelowanie zagrożeń nie wymaga drogich narzędzi ani konsultantów. Na start wystarczy tablica, lista zasobów i szczera rozmowa o tym, kto mógłby ich chcieć. Wracaj do modelu, gdy:

• Dodajesz nowe systemy lub usługi
• Zmienia się Twoja sytuacja firmowa lub osobista
• Głośny wyciek dotyczy oprogramowania, z którego korzystasz
• Zatrudniasz nowych pracowników z rozszerzonym dostępem

Celem nie jest idealny, wyczerpujący model. Celem jest przeznaczenie ograniczonych zasobów na bezpieczeństwo na zagrożenia, które najprawdopodobniej Cię dotkną.