Modelowanie zagrożeń dla małej platformy

Modelowanie zagrożeń ma opinię firmowego rytuału z diagramami, których nikt nie czyta. Nie musi tak być. W przypadku małej platformy użyteczna wersja zajmuje godzinę, daje uszeregowaną listę, a jej głównym efektem jest wiedza, na które ryzyka w ogóle wpływają wybory dotyczące infrastruktury — bo w przypadku większości z nich uczciwa odpowiedź brzmi: żadne.

Kolejność liczy się bardziej niż kompletność

Klasyczny błąd to długa lista wszystkiego, co może pójść źle, traktowana tak, jakby każdy punkt był równie pilny. Prowadzi to do paraliżu, a i tak kończy się decyzją podjętą na wyczucie. Uszeregowana lista siedmiu pozycji jest warta więcej niż wyczerpująca lista czterdziestu, ponieważ i tak działa się jedynie na podstawie pierwszych trzech, a do pozostałych nigdy się nie dociera.

Szereguje się je według prawdopodobieństwa × kosztu, a nie według tego, jak alarmująco brzmi scenariusz. Przeciwnik na poziomie państwowym to najbardziej przerażająca pozycja na każdej liście i zarazem, dla niemal każdej małej platformy, najmniej prawdopodobna — podczas gdy wyciek danych uwierzytelniających od byłego współpracownika jest mało spektakularny, bardzo częsty i zwykle katastrofalny w skutkach.

Siedmiu przeciwników uszeregowanych według prawdopodobieństwa

Przeciwnicy według prawdopodobieństwa i co ich ryzyko łagodzi

Przeciwnik	Prawdopodobieństwo	Hosting pomaga	Co naprawdę pomaga
Człowiek w gorszym dniu	Pewne	Nie	Kopie zapasowe, z których faktycznie kiedyś odtworzono dane, oraz proces zarządzania zmianą dla wszystkiego, co dotyczy uwierzytelniania lub DNS. Najbardziej prawdopodobną przyczyną najgorszej awarii jest człowiek.
Automatyczne skanowanie	Stałe	Nie	Instalowanie poprawek, brak uwierzytelniania hasłem, brak domyślnych danych logowania. To szum tła; nie jest wymierzone w nikogo konkretnego i nigdy nie ustaje.
Przejęcie danych uwierzytelniających	Wysokie	Nie	Sprzętowy drugi składnik uwierzytelniania, tokeny API o ograniczonym zakresie oraz odbieranie dostępu w dniu odejścia danej osoby, a nie dopiero w kolejnym kwartale.
Skarżący z formularzem	Wysokie	Tak	To jedyny przypadek, na który jurysdykcja dostawcy hostingu rzeczywiście ma wpływ: czy sama korespondencja wystarczy, by wyłączyć daną usługę.
Atak wolumetryczny	Średnie	Częściowo	Filtrowanie po stronie operatora tranzytowego (upstream), a konkretnie dostawca, który filtruje ruch, zamiast stosować null-routing w celu ochrony samego siebie.
Ukierunkowany intruz	Niskie	Nie	Segmentacja, zasada najmniejszych uprawnień, szyfrowanie danych w spoczynku oraz dzienniki przechowywane w miejscu, którego intruz nie może edytować.
Podmiot państwowy	Bardzo niskie	Częściowo	Jurysdykcja kształtuje ścieżkę prawną, a nie techniczną. Jeśli to rzeczywiście element danego modelu zagrożeń, warto zasięgnąć porady prawnej, a nie wybierać plan hostingowy.

Na które z nich wpływa wybór hostingu

Dwóch z siedmiu, a częściowo trzeci. Ta proporcja jest sama w sobie najbardziej użytecznym efektem tego ćwiczenia i dlatego wykonanie go przed wyborem dostawcy oszczędza więcej pieniędzy niż jakakolwiek tabela porównawcza.

Wersja na jedną godzinę

1. Sporządzić listę tego, co faktycznie jest przechowywane (10 min). Nie systemy — dane. Adresy e-mail użytkowników, dane dotyczące płatności, prywatne wiadomości, przesłane pliki, dane uwierzytelniające do innych usług. Zapisać, co byłoby najgorsze do utraty, a co najgorsze do wycieku; rzadko jest to to samo.
2. Sporządzić listę tego, kto mógłby chcieć każdej z tych rzeczy (10 min). Konkretnie. „Hakerzy” to nie jest przeciwnik; „ktoś, kto kupuje zrzuty danych uwierzytelniających, by odsprzedawać konta” — owszem, i to wymaga innych zabezpieczeń.
3. Uszeregować według prawdopodobieństwa × kosztu (10 min). Bez znaczenia, jak dramatycznie coś brzmi. Dominują te mało spektakularne.
4. Opisać pierwszą godzinę dla trzech najważniejszych pozycji (20 min). Co należałoby zrobić w pierwszych sześćdziesięciu minutach każdej z nich. Brak odpowiedzi jest samym w sobie wynikiem — i jest cenniejszy niż sam ranking.
5. Zaznaczyć, na które z nich wpływają decyzje dotyczące infrastruktury (10 min). Zwykle dwie z pierwszej piątki. Wiadomo już wtedy, co faktycznie daje wybór hostingu.

Warto powtórzyć to ćwiczenie, gdy zmienia się coś strukturalnego — nowy rodzaj danych, nowa integracja, odejście osoby z zespołu — a nie według stałego harmonogramu. Przeglądy wyznaczane kalendarzem bywają pomijane; te wywoływane zdarzeniem są wykonywane, bo powód leży wtedy na wierzchu.

Trzy błędy, które czynią całe ćwiczenie bezużytecznym

Modelowanie przeciwnika, który wydaje się ciekawy. O możliwościach aktora państwowego myśli się przyjemniej niż o wyciekłym tokenie API w publicznym repozytorium. Jedno z tych dwóch przydarzyło się niemal każdej znanej osobie. Przy uczciwym szeregowaniu wygrywają nudne pozycje — o to właśnie chodzi.

Mylenie mechanizmu kontrolnego ze skutkiem. „Stosujemy szyfrowanie” nie jest środkiem zaradczym, dopóki nie da się powiedzieć, przed czym chroni, a przed czym nie. Pełne szyfrowanie dysku na działającym serwerze chroni przed dyskiem, który opuszcza budynek; nie daje żadnej ochrony przed intruzem mającym powłokę na działającej maszynie, ponieważ wolumin jest już odblokowany.

Tworzenie dokumentu zamiast decyzji. Jeśli po ćwiczeniu nic się nie zmieniło — nie odebrano żadnych uprawnień, nie przetestowano kopii zapasowej, nie zadano dostawcy żadnego pytania — nie było to modelowanie zagrożeń, tylko popołudnie. Efektem powinny być trzy działania, z których każde ma przypisaną osobę odpowiedzialną.

Jeśli to wiersz dotyczący skarżącego dominuje w tabeli, kolejne pytanie brzmi: która jurysdykcja i jak zweryfikować to, co dany dostawca na jej temat deklaruje — sześć pytań, na które można odpowiedzieć w jedno popołudnie. Jeśli w ogóle nie pojawia się on w pierwszej piątce, najpewniej nie ma potrzeby korzystać z naszych usług, a to całkiem dobry efekt godziny pracy.

Napisane przez inżynierów, którzy prowadzą tę platformę, i ponownie sprawdzone 1 miesiąc temu. Jeśli coś tu jest błędne albo nieaktualne, można to zgłosić z panelu — stamtąd pochodzi mniej więcej połowa z tych treści.