Mô hình hóa mối đe dọa cho nền tảng nhỏ

Mô hình hóa mối đe dọa có tiếng là một nghi thức của doanh nghiệp lớn với những sơ đồ chẳng ai đọc. Không nhất thiết phải như vậy. Với một nền tảng nhỏ, phiên bản hữu ích chỉ mất một giờ, tạo ra một danh sách xếp hạng, và kết quả chính của nó là biết được những rủi ro nào thực sự bị ảnh hưởng bởi lựa chọn hạ tầng của bạn — vì với phần lớn trong số đó, câu trả lời trung thực là không rủi ro nào cả.

Thứ tự quan trọng hơn tính đầy đủ

Sai lầm kinh điển là một danh sách dài mọi thứ có thể xảy ra sai sót, được xem như đều khẩn cấp như nhau. Điều đó dẫn đến tê liệt, rồi cuối cùng vẫn là một quyết định dựa trên cảm tính. Một danh sách xếp hạng bảy điều có giá trị hơn một danh sách đầy đủ bốn mươi điều, vì bạn sẽ chỉ hành động với ba điều đầu tiên và dù sao cũng không bao giờ chạm tới phần còn lại.

Hãy xếp hạng theo khả năng xảy ra × chi phí đối với bạn, chứ không theo mức độ đáng sợ của kịch bản. Một đối tượng cấp nhà nước là mục đáng sợ nhất trên bất kỳ danh sách nào, và với hầu hết mọi nền tảng nhỏ, lại là ít khả năng xảy ra nhất — trong khi việc rò rỉ thông tin đăng nhập từ một nhà thầu cũ thì nhàm chán, cực kỳ phổ biến, và thường mang tính thảm họa.

Bảy đối tượng đe dọa, xếp hạng theo khả năng xảy ra

Các đối tượng đe dọa theo khả năng xảy ra và biện pháp giảm thiểu

Đối tượng đe dọa	Khả năng xảy ra	Lưu trữ có giúp ích	Điều gì thực sự giúp giảm thiểu
Chính bạn, vào một ngày xui xẻo	Chắc chắn	Không	Các bản sao lưu mà bạn đã thực sự khôi phục thử, và một quy trình thay đổi cho bất cứ điều gì liên quan đến xác thực hoặc DNS. Nguyên nhân nhiều khả năng nhất gây ra sự cố tồi tệ nhất chính là bạn.
Quét tự động	Liên tục	Không	Vá lỗi, không xác thực bằng mật khẩu, không dùng thông tin đăng nhập mặc định. Đây là bức xạ nền; nó không nhắm riêng vào bạn và không bao giờ dừng lại.
Lộ thông tin đăng nhập	Cao	Không	Yếu tố xác thực thứ hai bằng phần cứng, token API có phạm vi giới hạn, và thu hồi quyền truy cập ngay trong ngày một người rời đi thay vì cả quý sau đó.
Một bên khiếu nại với một biểu mẫu	Cao	Có	Đây là trường hợp duy nhất mà thẩm quyền tài phán của bên lưu trữ thực sự có ý nghĩa: liệu chỉ riêng thư từ có thể khiến dịch vụ của bạn bị gỡ xuống hay không.
Tấn công theo khối lượng	Trung bình	Một phần	Lọc lưu lượng ở phía thượng nguồn, và cụ thể là một nhà cung cấp thực sự lọc lưu lượng thay vì áp dụng null-route để tự bảo vệ chính họ.
Kẻ xâm nhập có chủ đích	Thấp	Không	Phân đoạn mạng, nguyên tắc đặc quyền tối thiểu, dữ liệu được mã hóa khi lưu trữ, và nhật ký được lưu ở nơi kẻ xâm nhập không thể chỉnh sửa.
Một tác nhân nhà nước	Rất thấp	Một phần	Thẩm quyền tài phán định hình con đường pháp lý, chứ không phải con đường kỹ thuật. Nếu điều này thực sự nằm trong mô hình của bạn, hãy tìm lời khuyên pháp lý thay vì một gói lưu trữ.

Quyết định lưu trữ ảnh hưởng đến những đối tượng nào

Hai trong bảy, và một phần thứ ba. Tỷ lệ đó chính là kết quả hữu ích nhất của bài tập này, và đó là lý do vì sao thực hiện nó trước khi chọn nhà cung cấp giúp tiết kiệm nhiều tiền hơn bất kỳ bảng so sánh nào.

Phiên bản một giờ

1. Liệt kê những gì bạn thực sự đang nắm giữ (10 phút). Không phải hệ thống — mà là dữ liệu. Địa chỉ email người dùng, hồ sơ thanh toán, tin nhắn riêng tư, tệp đã tải lên, thông tin đăng nhập vào các dịch vụ khác. Ghi lại thứ nào tệ nhất nếu mất và thứ nào tệ nhất nếu bị rò rỉ; hai điều đó hiếm khi giống nhau.
2. Liệt kê ai muốn có từng thứ đó (10 phút). Hãy cụ thể. “Tin tặc” không phải là một đối tượng đe dọa; “một kẻ mua dữ liệu đăng nhập bị rò rỉ để bán lại tài khoản” mới là một đối tượng đe dọa, và điều đó đòi hỏi các biện pháp phòng vệ khác nhau.
3. Xếp hạng theo khả năng xảy ra × chi phí (10 phút). Bỏ qua mức độ kịch tính của từng điều. Những điều nhàm chán mới là chủ đạo.
4. Với ba mục hàng đầu, hãy viết ra giờ đầu tiên (20 phút). Bạn sẽ làm gì trong sáu mươi phút đầu tiên của mỗi tình huống. Nếu bạn không trả lời được, đó chính là phát hiện quan trọng — và nó có giá trị hơn cả bảng xếp hạng.
5. Đánh dấu những mục nào bị ảnh hưởng bởi lựa chọn hạ tầng (10 phút). Thường là hai trong số năm mục hàng đầu. Giờ thì bạn đã biết quyết định lưu trữ của mình thực sự mang lại điều gì.

Hãy làm lại bài tập này khi có điều gì đó thay đổi về cấu trúc — một loại dữ liệu mới, một tích hợp mới, một người rời đi — thay vì theo lịch định kỳ. Các đợt rà soát theo lịch thường bị bỏ qua; các đợt rà soát theo sự kiện thì được thực hiện, vì có một lý do cụ thể ngay trước mắt.

Ba sai lầm khiến toàn bộ bài tập trở nên vô ích

Mô hình hóa đối tượng đe dọa mà bạn thấy thú vị. Suy nghĩ về năng lực của một quốc gia thì hấp dẫn hơn nhiều so với một token API bị rò rỉ trong một kho mã nguồn công khai. Một trong hai điều đó đã từng xảy ra với gần như tất cả những người bạn quen biết. Hãy xếp hạng một cách trung thực, và những mục nhàm chán sẽ thắng — đó chính là mục đích.

Nhầm lẫn giữa một biện pháp kiểm soát với một kết quả. “Chúng tôi sử dụng mã hóa” không phải là một biện pháp giảm thiểu chừng nào bạn chưa nói rõ được nó ngăn chặn điều gì và không ngăn chặn điều gì. Mã hóa toàn bộ ổ đĩa trên một máy chủ đang chạy bảo vệ trước việc ổ đĩa bị mang ra khỏi tòa nhà; nó không có tác dụng gì trước một kẻ xâm nhập có được shell trên máy đang chạy, vì ổ đĩa lúc đó đã được mở khóa.

Tạo ra một tài liệu thay vì một quyết định. Nếu không có gì thay đổi sau bài tập này — không có quyền nào bị thu hồi, không có bản sao lưu nào được kiểm thử, không có câu hỏi nào được đặt ra cho nhà cung cấp — thì đó không phải là một mô hình mối đe dọa, mà chỉ là một buổi chiều đã trôi qua. Kết quả cần phải là ba hành động cụ thể, mỗi hành động gắn với tên một người chịu trách nhiệm.

Nếu hàng dành cho bên khiếu nại là hàng chi phối bảng của bạn, câu hỏi tiếp theo là nên chọn thẩm quyền tài phán nào và làm sao để kiểm chứng những gì một nhà cung cấp tuyên bố về điều đó — sáu câu hỏi, có thể trả lời trong một buổi chiều. Nếu nó hoàn toàn không xuất hiện trong năm mục hàng đầu của bạn, có lẽ bạn không cần đến chúng tôi, và đó cũng là một kết quả hoàn toàn tốt cho một giờ làm việc.

Được viết bởi các kỹ sư vận hành nền tảng, và được xem lại 1 tháng trước. Nếu có điều gì ở đây sai hoặc đã lỗi thời, có thể phản ánh từ bảng điều khiển — đó cũng là nơi khoảng một nửa những điều này đến từ.