Sicurezza Applicativa: il modello STRIDE per i pattern di attacco

Nei post precedenti sulla sicurezza applicativa abbiamo visto che nella fase dedicata ai casi di abuso e dei requisiti di sicurezza, un modello come STRIDE può essere di aiuto nel definire i pattern di attacco tra cui estrarre il modello di attacco (ovvero il sottoinsieme dei possibili attacchi) per il nostro sistema applicativo.

STRIDE ha l'indubbio vantaggio di non essere eccessivamente astratto ed è invece facilmente riconducibile a situazioni reali.

Se fate delle ricerche su Internet troverete che STRIDE viene definito un sistema per la modellazione delle minacce. Io non sono d'accordo su questa definizione e ritengo (come Gary McGraw) che STRIDE sia un modello relativo ai possibili attacchi, legando la "minaccia" invece agli attori (umani e non) che sono invece gli artefici degli attacchi.

STRIDE è l'acronimo di: Spoofing, Tampering, Repudiation, Information disclosure, DoS, Elevation of privilege:

Spoofing dell'identità: "sono attacchi che consentono ad un utente malizioso di sostituirsi ad un utente legittimo e di compiere azioni per esso. Un esempio è quello di catturare le credenziali di autenticazione di un utente e di compiere azioni malevole che dai sistemi vengono però ricondotte al proprietario legittimo. Attività di sniffing o man in the middle sono propedeutiche allo spoofing dell'identità" ;

Tampering dei dati: "sono attacchi che portano alla modificazione maliziosa di dati e sostanzialmente consistono in attività che violino il principio di integrità delle informazioni. Esempi sono la modifica non autorizzata di dati persistenti in un database, in transito in una rete, oppure di un file con ACL non debitamente assegnate.";

Ripudio delle azioni: "consiste in attacchi che permettono ad un utente malizioso di ripudiare una certa azione malevola, senza che qualcuno possa dimostrane il contrario. Per esempio la mancanza di un log degli accessi non permette ad un amministratore di provare che un certo utente ha acceduto al sistema, consentendo quindi all'utente di ripudiare l'accesso. Garantire il non ripudio di talune operazioni è quindi necessario in modo che gli utenti possano non disconoscerle.";

Information disclosure (perdita di informazioni): "sono attacchi che mirano a visualizzare dati per i quali non si ha l'autorizzazione all'accesso. Le tipologie di attacchi che mirano alla perdita di informazioni tentano di violare quindi il principio della confidenzialità delle informazioni. Esempi sono attività di man in the middle o sniffing.";

Diniego del servizio (Denial of service): "sono attacchi che mirano a saturare le risorse di un servizio o di un sistema. Esempi sono il sovraccaricare di richieste un server, un router, etc. Attacchi di questo tipo sono molto pericolosi perché incidono sul principio di disponibilità dei servizi o delle informazioni. Ancora oggi molti sistemi di rete sono vulnerabili a questa tipologie di attacchi.";

Elevazione dei privilegi: "sono attacchi che mirano ad acquisire privilegi maggiori rispetto a quelli assegnati e che consentono quindi di effettuare operazioni non lecite. Tipicamente questi attacchi vengono portati a servizi o demoni in esecuzione che espongono delle porte di accesso dalla rete e sono quindi facilmente raggiungibili da remoto. Di solito sfruttano errori di codifica nella gestione dei buffer di tali servizi, a cui segue poi l'esecuzione di codice malizioso con i privilegi, di solito elevati, del servizio o demone."

I post precedenti:
Sicurezza Applicativa: introduzione
Sicurezza Applicativa: riferimenti
Sicurezza Applicativa: linee guida
Sicurezza Applicativa: best practice per i casi di abuso e i requisiti di sicurezza

Qualche blog link:
SDLC on the shoulders of giants
Cigital’s Touchpoints versus Microsoft’s SDL
Security is not all about Security Updates
Securing Existing Code
Come scoprire i difetti di progettazione della protezione utilizzando l'approccio STRIDE