Modelowanie zagrożeń
Modelowanie zagrożeń na podstawie architektury produktu
Opisz produkt, jego interfejsy i przepływy danych. Sytance pomaga przygotować model systemu i analizę zagrożeń. Zespół przegląda scenariusze ataków, ocenia ryzyko oraz zapisuje środki i metody weryfikacji.
Tworzenie i utrzymywanie modelu zagrożeń
Kontekst produktu
Zapisz informacje o użytkownikach, komponentach, interfejsach, danych i założeniach dotyczących eksploatacji.
Diagram przepływu danych
Przedstaw interakcje i granice zaufania wymagające analizy.
Przegląd zagrożeń i ryzyka
Porównaj proponowane ataki z architekturą oraz oceń warunki i konsekwencje tych ataków.
Zabezpieczenia
Zapisz wybrane środki oraz kontrole potrzebne do ich weryfikacji.
Dane wejściowe
Opis produktu, architektura i interfejsy
Model roboczy
Komponenty, zasoby, przepływy danych i granice zaufania
Decyzje
Istotność zagrożeń, ocena ryzyka i postępowanie z ryzykiem
Dalsze działania
Wymagania bezpieczeństwa, zabezpieczenia i weryfikacja
Od scenariusza ataku do zabezpieczenia
Przydatny zapis zagrożenia wyjaśnia, co może zrobić atakujący, jakie warunki umożliwiają atak i jak wpłynąłby on na produkt. Wybrane zabezpieczenie i metoda weryfikacji powinny odpowiadać temu scenariuszowi. Przykład bramy sieciowej pokazuje tę zależność dla aktualizacji oprogramowania.
Jak AI pomaga w analizie?
AI przygotowuje projekt modelu produktu i proponuje scenariusze ataków na podstawie przekazanych informacji. Zespół sprawdza założenia, poprawia model i decyduje, które zagrożenia i zabezpieczenia zachować.
Czy możemy wykorzystać istniejącą architekturę?
Wykorzystaj istniejący projekt, aby opisać w modelu komponenty, interfejsy i przepływy danych. Uzgodnij uprawnienia, założenia dotyczące wdrożenia i zabezpieczenia z osobami odpowiedzialnymi za projekt.
Co przedstawia publiczny przykład?
Przykład bramy przemysłowej przedstawia trzy ataki na diagramie przepływu danych oraz proponowane zabezpieczenia i metody weryfikacji. Architekturę, zapisy zagrożeń i proponowane metody weryfikacji można sprawdzić bez konta.
