Mô hình hóa mối đe dọa là một cách tiếp cận có cấu trúc để xác định và ưu tiên các mối đe dọa bảo mật tiềm ẩn đối với hệ thống. Thay vì phản ứng lại các cuộc tấn công sau khi chúng xảy ra, việc lập mô hình mối đe dọa giúp bạn dự đoán các lỗ hổng trong giai đoạn thiết kế—khi các bản sửa lỗi rẻ nhất và hiệu quả nhất.

Hướng dẫn này bao gồm ba phương pháp lập mô hình mối đe dọa thiết yếu mà các chuyên gia bảo mật sử dụng hàng ngày. Cho dù bạn đang thiết kế một vi dịch vụ mới, đánh giá sự tích hợp của bên thứ ba hay củng cố cơ sở hạ tầng hiện có, những kỹ thuật này sẽ giúp bạn suy nghĩ như một kẻ tấn công.

Khi kết thúc hướng dẫn này, bạn sẽ có thể tiến hành các phiên lập mô hình mối đe dọa, ưu tiên các rủi ro bảo mật và truyền đạt các phát hiện cho cả các bên liên quan về mặt kỹ thuật và phi kỹ thuật.

Bạn sẽ học được gì

Hướng dẫn này bao gồm các phần sau:

  1. STRIDE - Phân loại mối đe dọa một cách có hệ thống
  2. DREAD - Tính điểm và ưu tiên rủi ro
  3. Cây tấn công - Trực quan hóa đường tấn công
  4. Bài tập thực hành - Thực hành các tình huống lập mô hình mối đe dọa

Tại sao mô hình hóa mối đe dọa lại quan trọng

Hãy xem xét các tình huống sau:

  • Một công ty khởi nghiệp khởi chạy mà không phân tích cách kẻ tấn công có thể lạm dụng API của họ
  • Doanh nghiệp thêm tính năng mới mà không xem xét ý nghĩa của luồng dữ liệu
  • Nhóm DevOps triển khai cơ sở hạ tầng mà không xác định đường dẫn leo thang đặc quyền

Trong mỗi trường hợp, mô hình hóa mối đe dọa sẽ tiết lộ các lỗ hổng trước khi chúng trở thành những sự cố tốn kém. Các nghiên cứu cho thấy rằng việc sửa một lỗi bảo mật trong production tốn kém hơn 30 lần so với việc sửa lỗi trong quá trình thiết kế.

Hướng dẫn này dành cho ai

Hướng dẫn này được thiết kế cho:

  • Kỹ sư DevOps tích hợp bảo mật vào CI/CD pipeline
  • Các nhà phát triển muốn thiết kế hệ thống an toàn hơn
  • Các kỹ sư bảo mật đang tìm cách chính thức hóa việc phân tích mối đe dọa của họ
  • Kiến trúc sư đánh giá thiết kế hệ thống về rủi ro bảo mật

Không yêu cầu phải có kiến thức chuyên môn về bảo mật trước đó—chúng tôi sẽ xây dựng từ các kỹ thuật cơ bản đến kỹ thuật nâng cao.

Hãy học cách suy nghĩ như một kẻ tấn công!