Modellazione delle minacce: piccole piattaforme

La modellazione delle minacce ha la reputazione di essere un rituale aziendale fatto di diagrammi che nessuno legge. Non deve essere così. Per una piccola piattaforma, la versione utile richiede un'ora, produce un elenco ordinato per priorità, e il suo risultato principale è sapere quali rischi le scelte infrastrutturali arrivano effettivamente a toccare — perché, per la maggior parte di essi, la risposta onesta è nessuno.

L'ordine conta più della completezza

L'errore classico è un lungo elenco di tutto ciò che potrebbe andare storto, trattato come se fosse ugualmente urgente. Questo produce paralisi, e poi comunque una decisione presa d'istinto. Un elenco ordinato di sette voci vale più di un elenco esaustivo di quaranta, perché si agirà comunque solo sulle prime tre e non si arriverà mai alle restanti.

Ordinare per probabilità × costo per chi gestisce il servizio, non in base a quanto suoni allarmante lo scenario. Un avversario statale è la voce più spaventosa di qualsiasi elenco e, per quasi ogni piccola piattaforma, la meno probabile — mentre una fuga di credenziali da parte di un ex collaboratore è noiosa, estremamente comune e di solito catastrofica.

Sette avversari, in ordine di probabilità

Avversari per probabilità e cosa li mitiga

Avversario	Probabilità	Hosting aiuta	Cosa lo mitiga davvero
Se stessi, in una brutta giornata	Certa	No	Backup effettivamente testati con un ripristino reale, e un processo di change management per tutto ciò che riguarda autenticazione o DNS. La causa più probabile del peggiore disservizio è l'operatore stesso.
Scansione automatizzata	Costante	No	Applicazione delle patch, nessuna autenticazione con password, nessuna credenziale predefinita. È rumore di fondo: non è diretto contro un bersaglio specifico e non si ferma mai.
Compromissione delle credenziali	Alta	No	Secondo fattore hardware, token API con permessi limitati, e revoca dell'accesso il giorno stesso in cui qualcuno lascia l'azienda, anziché il trimestre successivo.
Un reclamante con un modulo	Alta	Sì	È l'unico caso in cui la giurisdizione dell'hosting incide realmente: se una semplice corrispondenza può da sola far cadere il servizio.
Attacco volumetrico	Media	Parzialmente	Filtraggio upstream, e in particolare un provider che filtra invece di applicare il null-routing per proteggere se stesso.
Un intruso mirato	Bassa	No	Segmentazione, privilegio minimo, dati cifrati a riposo, e log conservati dove l'intruso non può modificarli.
Un attore statale	Molto bassa	Parzialmente	La giurisdizione determina la via legale, non quella tecnica. Se questo scenario rientra davvero nel proprio modello di minaccia, è consigliabile richiedere una consulenza legale, non un piano di hosting.

Quali sono toccati da una decisione di hosting

Due su sette, e parzialmente un terzo. Questo rapporto è, da solo, il risultato più utile dell'esercizio, ed è per questo che farlo prima di scegliere un provider fa risparmiare più di qualsiasi tabella comparativa.

La versione da un'ora

1. Elencare cosa si detiene realmente (10 min). Non i sistemi — i dati. Indirizzi email degli utenti, dati di pagamento, messaggi privati, file caricati, credenziali di altri servizi. Annotare cosa sarebbe peggio perdere e cosa sarebbe peggio vedere trapelare; raramente sono la stessa cosa.
2. Elencare chi vorrebbe ciascuno di questi dati (10 min). Essere specifici. “Hacker” non è un avversario; “qualcuno che compra dump di credenziali per rivendere account” lo è, e implica difese diverse.
3. Ordinare per probabilità × costo (10 min). Ignorare quanto ciascuno suoni drammatico. Sono le voci più noiose a dominare.
4. Per i primi tre, scrivere la prima ora (20 min). Cosa si farebbe nei primi sessanta minuti di ciascuno. Se non si riesce a rispondere, quello è già il risultato — e vale più della classifica stessa.
5. Segnare quali sono toccati dalle scelte infrastrutturali (10 min). Di solito due dei primi cinque. A questo punto è chiaro cosa la decisione di hosting sta effettivamente comprando.

Ripeterlo quando cambia qualcosa di strutturale — un nuovo tipo di dato, una nuova integrazione, una persona che lascia l'azienda — piuttosto che a scadenze fisse. Le verifiche pianificate a calendario vengono saltate; quelle innescate da un evento vengono fatte, perché il motivo è concreto e sotto gli occhi.

Tre errori che rendono tutto inutile

Modellare l'avversario che si trova più interessante. Pensare alle capacità di uno stato-nazione è più stimolante che pensare a un token API trapelato in un repository pubblico. Una delle due cose è capitata a quasi tutti. Se si ordina onestamente, a vincere sono le voci noiose — ed è proprio questo il punto.

Confondere un controllo con un risultato. “Usiamo la crittografia” non è una mitigazione finché non si può dire cosa impedisce e cosa no. La cifratura dell'intero disco su un server in funzione protegge nel caso in cui un disco lasci fisicamente l'edificio; non serve a nulla contro un intruso con una shell sulla macchina attiva, perché il volume è già sbloccato.

Produrre un documento invece di una decisione. Se dopo l'esercizio non è cambiato nulla — nessun permesso revocato, nessun backup testato, nessuna domanda posta al provider — non era una modellazione delle minacce, era solo un pomeriggio. Il risultato dovrebbe essere tre azioni, ciascuna con un responsabile assegnato.

Se la riga del reclamante è quella che domina la tabella, la domanda successiva è quale giurisdizione scegliere e come verificare ciò che un provider dichiara al riguardo — sei domande, a cui si può rispondere in un pomeriggio. Se invece non compare affatto tra le prime cinque voci, probabilmente un servizio come il nostro non è necessario, ed è comunque un ottimo risultato per un'ora di lavoro.

Scritto dagli ingegneri che gestiscono la piattaforma, e riletto il 1 mese fa. Se qualcosa qui è sbagliato o non è più aggiornato, lo segnali dal pannello cliente — è da lì che proviene circa la metà di queste voci.