위협 모델 기록과 보고서

모델 구성 방법

다이어그램과 분석을 함께 보관하거나 안정적인 식별자를 사용해 연결하세요. 소규모 검토에는 문서가 적합합니다. 같은 통제가 여러 위협에 대응하거나 팀이 릴리스 간 차이를 비교해야 한다면 구조화된 기록이 유용합니다.

Sytance에서는 팀이 작업 공간에서 아키텍처와 위협 기록을 편집한 뒤 관련 보안 요구사항, 설계, 검증 기록을 연결합니다. 문서화 모듈은 작업 공간의 정보를 사용해 보고서를 준비합니다.

제품 정보 및 가정

제품 버전, 배포 환경, 목적, 사용자에 대해 식별하세요. 분석에 포함된 부분, 외부 종속성, 공격 경로에 영향을 주는 제외 항목을 명시하세요.

OWASP의 분해 지침은 진입점, 자산, 신뢰 수준을 구분합니다. 모든 자산을 다이어그램의 별도 프로세스로 만들기보다 이러한 구분으로 아키텍처를 설명하세요.

• 맥락: 제품, 릴리스, 환경, 목적, 검토 책임자.
• 아키텍처: 다이어그램 리비전, 프로세스, 저장소, 외부 엔터티, 흐름.
• 보호 목표: 기밀성, 무결성 또는 가용성이 필요한 데이터 및 기능.
• 가정: 불확실한 조건, 담당자, 확인 방법.

기록당 공격 시나리오 하나 작성

각 위협에 안정적인 식별자를 부여하고 관련 다이어그램 요소 또는 흐름에 연결하세요. 누가 공격할 수 있는지, 어떤 접근이 필요한지, 어떤 행동과 취약점이 있는지, 어떤 결과가 발생하는지 설명하세요. 시나리오의 전제 조건도 명시하세요.

예시 TM-01: 읽기 전용 게이트웨이 사용자가 구성 쓰기 API를 호출합니다. API가 인증 여부만 확인하고 쓰기 권한은 확인하지 않는다면 사용자가 원격 측정 대상을 바꿀 수 있습니다. 영향을 받는 흐름은 브라우저에서 관리 API로 향하는 흐름이며, 이 공격은 저장된 구성의 무결성을 위협합니다.

“권한 상승, 위험 높음”만 적어서는 이 시나리오를 설명할 수 없습니다. 필요한 계정, 엔드포인트 노출 정도, 현실적인 영향, 고려한 기존 통제를 포함해 위험 판단의 근거를 추가하세요.

통제, 구현, 검증

TM-01의 경우 제안된 통제 AC-01은 모든 구성 쓰기 작업에서 관리 API가 작업 권한과 리소스 권한을 확인하도록 요구합니다. 구현 기록에는 관련 변경 사항을 명시해야 합니다. 검증 기록에는 지정된 릴리스에 대한 실제 테스트 결과가 포함되어야 합니다.

• 결정: 근거와 담당자를 명시해 위험을 줄이거나 제거하거나 수용합니다.
• 통제: 필요한 동작 및 대응하는 위협 단계.
• 구현: 구성 요소, 변경 참조 정보, 제품 버전.
• 검증: 설정, 작업, 예상 결과, 관찰 결과, 증거 링크.
• 잔여 위험: 미해결 조건 및 권한 있는 검토자의 결정.

예상 결과 및 관찰 결과

가상 게이트웨이의 예상 결과는 읽기 전용 쓰기 요청이 거부되고 저장된 구성이 변경되지 않는 것입니다. 관찰 결과에는 테스트 중 실제로 일어난 일을 기록합니다. 테스트를 실행하기 전까지 해당 필드는 미결 상태입니다.

통제에도 같은 구분이 적용됩니다. “서명 검증 계획됨”과 “서명 검증 구현 및 테스트 완료”는 서로 다른 수준의 확신을 전달합니다. 기록을 보고서나 다른 도구로 옮길 때도 이 차이를 보존하세요.

완성된 모델 검토

검토자에게 다이어그램의 공격 하나를 선택된 통제와 테스트 결과까지 따라가도록 요청하세요. 연결을 따라갈 수 없다면 기록이 빠진 것인지 공격 설명을 더 명확히 해야 하는지 확인하세요.

명시된 릴리스가 다이어그램과 일치하는지, 각 시나리오에 처리 결정이 있는지, 수용된 위험마다 수용한 사람이 식별되어 있는지 확인하세요. 미해결 가정에는 계속 담당자와 확인 방법을 기록해야 합니다.

작업 공간 기록을 업데이트한 뒤 문서화(Documentation)를 열고 관련 보고서를 선택하세요. Sytance에서는 작업 공간 구성 및 플랜에 따라 HTML 미리보기와 PDF 또는 DOCX 출력을 제공합니다. 검토에 사용하기 전에 렌더링된 보고서를 현재 제품 버전, 분석 내용, 검증 증거와 대조해 확인하세요.

추가 자료

• 실무 위협 모델링 안내서
• 게이트웨이 STRIDE 시나리오 6개