STRIDEってご存じだろうか？
@IT主催のIT Security Live Weekのどこかのセッションで出てきたので整理しようと思ったのだが、いかんせんつかみどころが無い状況となってしまった。
とりあえずSTRIDEの簡単な概要を紹介すると、
・Microsoftが開発した脅威モデル。
・下記6つの脅威の頭文字をとってSTRIDEとなっている。
Spoofing（なりすまし）
Tampering（改ざん）
Repudiation（否認）
Information disclosure（情報漏洩）
Denial of service（DoS攻撃）
Elevation of privilege（権限昇格）
ここまでは良いのだが、先日話したサイバーキルチェーンやMITRE ATT&CKやCIAとの関連が良く分からず、難儀した。
まず、CIAとSTRIDEについては、CIAがセキュリティの要素を分類したものであるのに対し、STRIDEはセキュリティの脅威を分類したものとなる。
つまり、STRIDEの各要素には、1つ以上のCIAの要素が必ず紐づくこととなる。
（厳密にはCIAの3大要素だけではなく、真正性、責任追跡性、信頼性、否認防止、を加えた7大要素のいずれかが紐づく）
STRIDEの各概要の説明とともに、関するCIAの要素を組み合わせてみる。
■Spoofing（なりすまし）
・概要：多要素認証の欠如、セッション管理の不備、暗号化通信の不備など
・CIA要素：真正性
■Tampering（改ざん）
・概要：HTMLインジェクション、SQLインジェクションなどを含むステレスコマンドなど
・CIA要素：完全性
■Repudiation（否認）
・概要：CSRF、デジタル署名の設定不備など
・CIA要素：否認防止
■Information disclosure（情報漏洩）
・概要：情報資産の意図しない流出など
・CIA要素：機密性
■Denial of service（DoS攻撃）
・概要：DoS/DDoS攻撃によるサービス停止など
・CIA要素：可用性
■Elevation of privilege（権限昇格）
・概要：アクセスを許していないはずのユーザにアクセス権が与えられてしまうことなど
・CIA要素：機密性、完全性
んで、次にサイバーキルチェーンやMITRE ATT&CKとの関連についてなのだが、こちらはMITRE ATT&CKの方で解説があった。
自分が理解しやすいように無理やり整理すると、上の図の更に上にスーパーハイレベルモデルとしてセキュリティ7大要素がある感じであろうか。
1.ベースモデルとしてセキュリティの7大要素があり（概念!?）
2.それらを脅威の観点で再整理したのがサイバーキルチェーンやSTRIDEとなり(抽象的知識体系)
3.それらを戦術やテクニック等より具体的に整理したものがMITRE ATT&CKとなり、
4.最後に個々の攻撃コードや脆弱性等の具体的な内容となる。
・・・という理解で今日は終えておこう。。。
【参考】
https://hanakutoman.com/threat-modeling-stride/
https://qiita.com/ohayougenki/items/a281a8330b60fad7f5e1
https://at-virtual.net/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3/cvss%E3%80%81dread%E3%80%81stride%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3/
https://www.socyeti.jp/posts/4873582/
https://www.smillione.co.jp/staffblog/2019/08/30/security02/
