2020/07/14

STRIDEとは何ぞや


STRIDEってご存じだろうか?

@IT主催のIT Security Live Weekのどこかのセッションで出てきたので整理しようと思ったのだが、いかんせんつかみどころが無い状況となってしまった。

とりあえずSTRIDEの簡単な概要を紹介すると、

・Microsoftが開発した脅威モデル。

・下記6つの脅威の頭文字をとってSTRIDEとなっている。

Spoofing(なりすまし)
Tampering(改ざん)
Repudiation(否認)
Information disclosure(情報漏洩) 
Denial of service(DoS攻撃)
Elevation of privilege(権限昇格)

ここまでは良いのだが、先日話したサイバーキルチェーンMITRE ATT&CKCIAとの関連が良く分からず、難儀した。

まず、CIAとSTRIDEについては、CIAがセキュリティの要素を分類したものであるのに対し、STRIDEはセキュリティの脅威を分類したものとなる。

つまり、STRIDEの各要素には、1つ以上のCIAの要素が必ず紐づくこととなる。
(厳密にはCIAの3大要素だけではなく、真正性、責任追跡性、信頼性、否認防止、を加えた7大要素のいずれかが紐づく)

STRIDEの各概要の説明とともに、関するCIAの要素を組み合わせてみる。

Spoofing(なりすまし)
・概要:多要素認証の欠如、セッション管理の不備、暗号化通信の不備など
・CIA要素:真正性

■Tampering(改ざん)
・概要:HTMLインジェクション、SQLインジェクションなどを含むステレスコマンドなど
・CIA要素:完全性

■Repudiation(否認)
・概要:CSRF、デジタル署名の設定不備など
・CIA要素:否認防止

■Information disclosure(情報漏洩) 
・概要:情報資産の意図しない流出など
・CIA要素:機密性

■Denial of service(DoS攻撃)
・概要:DoS/DDoS攻撃によるサービス停止など
・CIA要素:可用性


■Elevation of privilege(権限昇格)
・概要:アクセスを許していないはずのユーザにアクセス権が与えられてしまうことなど
・CIA要素:機密性、完全性


んで、次にサイバーキルチェーンやMITRE ATT&CKとの関連についてなのだが、こちらはMITRE ATT&CKの方で解説があった。



自分が理解しやすいように無理やり整理すると、上の図の更に上にスーパーハイレベルモデルとしてセキュリティ7大要素がある感じであろうか。

1.ベースモデルとしてセキュリティの7大要素があり(概念!?)

2.それらを脅威の観点で再整理したのがサイバーキルチェーンやSTRIDEとなり(抽象的知識体系)

3.それらを戦術やテクニック等より具体的に整理したものがMITRE ATT&CKとなり、

4.最後に個々の攻撃コードや脆弱性等の具体的な内容となる。

・・・という理解で今日は終えておこう。。。

【参考】
https://hanakutoman.com/threat-modeling-stride/
https://qiita.com/ohayougenki/items/a281a8330b60fad7f5e1
https://at-virtual.net/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3/cvss%E3%80%81dread%E3%80%81stride%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3/
https://www.socyeti.jp/posts/4873582/
https://www.smillione.co.jp/staffblog/2019/08/30/security02/