Моделирование угроз для небольшой платформы

За моделированием угроз закрепилась репутация корпоративного ритуала со схемами, которые никто не читает. Так быть не обязано. Для небольшой платформы полезная версия занимает час, даёт ранжированный список, и её главный результат — понимание того, на какие риски вообще влияют ваши инфраструктурные решения, — потому что для большинства из них честный ответ: ни на какие.

Порядок важнее полноты

Классическая ошибка — длинный список всего, что может пойти не так, где каждый пункт считается одинаково срочным. Это приводит к параличу, а затем всё равно к решению, принятому на глазок. Ранжированный список из семи пунктов ценнее исчерпывающего списка из сорока, потому что вы всё равно отреагируете только на первые три, а до остальных так и не дойдёте.

Ранжируйте по вероятности × стоимости для вас, а не по тому, насколько пугающе звучит сценарий. Государственный противник — самый устрашающий пункт любого списка и, для почти любой небольшой платформы, наименее вероятный, — тогда как утечка учётных данных от бывшего подрядчика скучна, крайне распространена и обычно катастрофична.

Семь противников, ранжированных по вероятности

Противники по вероятности и то, что их сдерживает

Противник	Вероятность	Хостинг помогает	Что действительно помогает
Вы сами, в неудачный день	Неизбежно	Нет	Резервные копии, которые вы действительно разворачивали, и процесс согласования изменений для всего, что касается аутентификации или DNS. Самая вероятная причина вашего худшего сбоя — вы сами.
Автоматическое сканирование	Постоянно	Нет	Установка обновлений, отказ от парольной аутентификации, отсутствие стандартных учётных данных. Это фоновый шум: он направлен не лично на вас и не прекращается никогда.
Компрометация учётных данных	Высокая	Нет	Аппаратный второй фактор, API-токены с ограниченной областью действия и отзыв доступа в день ухода сотрудника, а не через квартал после.
Заявитель с формой жалобы	Высокая	Да	Это единственный случай, на который юрисдикция хостинга действительно влияет: может ли одна лишь переписка привести к отключению вашего сервиса.
Объёмная атака	Средняя	Частично	Фильтрация на стороне транзитного оператора — и, в частности, провайдер, который фильтрует трафик, а не отключает вас через null-routing ради собственной защиты.
Целенаправленный злоумышленник	Низкая	Нет	Сегментация, минимально необходимые привилегии, шифрование данных в состоянии покоя и журналы в месте, недоступном для изменения злоумышленником.
Государственный субъект	Очень низкая	Частично	Юрисдикция определяет правовой путь, а не технический. Если это действительно часть вашей модели угроз, обратитесь за юридической консультацией, а не за тарифом хостинга.

На какие из них влияет выбор хостинга

Два из семи, и ещё один — частично. Это соотношение само по себе — самый полезный результат упражнения, и именно поэтому, если проделать его до выбора провайдера, вы сэкономите больше денег, чем даст любая сравнительная таблица.

Версия на один час

1. Перечислите, чем вы на самом деле располагаете (10 мин). Не системы — данные. Адреса электронной почты пользователей, платёжные записи, личные сообщения, загруженные файлы, учётные данные к другим сервисам. Отметьте, что было бы хуже всего потерять и что было бы хуже всего слить в открытый доступ; это редко одно и то же.
2. Перечислите, кому что из этого может понадобиться (10 мин). Будьте конкретны. «Хакеры» — это не противник; «тот, кто скупает утечки учётных данных, чтобы перепродавать аккаунты» — противник, и это подразумевает другую защиту.
3. Ранжируйте по вероятности × стоимости (10 мин). Не обращайте внимания на то, насколько драматично звучит каждый пункт. Преобладают именно скучные.
4. Для первых трёх пунктов распишите первый час (20 мин). Что именно вы сделаете в первые шестьдесят минут по каждому из них. Если вы не можете ответить — это и есть результат, и он ценнее самого рейтинга.
5. Отметьте, на какие из них влияют инфраструктурные решения (10 мин). Обычно это два пункта из первых пяти. Теперь вы знаете, что на самом деле даёт ваш выбор хостинга.

Повторяйте упражнение при структурных изменениях — новый тип данных, новая интеграция, уход сотрудника, — а не по расписанию. Проверки по календарю пропускают; проверки по событию проводят, потому что перед вами конкретный повод.

Три ошибки, которые делают всё упражнение бесполезным

Моделировать того противника, который вам интересен. Размышлять о возможностях национального государства увлекательнее, чем думать об утёкшем API-токене в публичном репозитории. Одно из двух случалось почти со всеми, кого вы знаете. Ранжируйте честно — и побеждают скучные пункты, в этом и есть смысл.

Путать меру защиты с результатом. «Мы используем шифрование» не является мерой защиты, пока вы не можете сказать, от чего именно оно защищает, а от чего нет. Полное шифрование диска на работающем сервере защищает диск, который вынесли из здания; оно ничего не даёт против злоумышленника с доступом к shell на работающей машине, потому что том уже разблокирован.

Создавать документ вместо решения. Если после упражнения ничего не изменилось — ни один доступ не отозван, ни одна резервная копия не проверена, ни один вопрос провайдеру не задан, — это была не модель угроз, а просто потраченный день. Результатом должны быть три действия, у каждого из которых есть ответственный.

Если в вашей таблице доминирует строка про заявителя с жалобой, следующий вопрос — какая юрисдикция подходит и как проверить то, что о ней заявляет провайдер, — шесть вопросов, на которые можно ответить за один день. Если же этот пункт вообще не попадает в ваши первые пять, скорее всего, мы вам не нужны, и это вполне достойный результат для часа работы.

Написано инженерами, которые управляют платформой, и перечитано 1 месяц назад. Если здесь что-то неверно или устарело, сообщите об этом из панели — именно оттуда пришла примерно половина этих материалов.