-
Threat Modeling: systematisch Schwachstellen jagen
- Die vier Grundfragen
- Schwachstellen haben System
- Visualisierung: vom Whiteboard bis zum Code
- Wissensgrundlagen
- Auswahlkriterien: das richtige Tool für den Job
- Fazit: Pragmatismus schlägt Perfektion
Threat Modeling klingt nach einem weiteren Sicherheits-Buzzword, ist aber weitaus nützlicher, als der Name vermuten lässt. Denn es geht nicht darum, akademische Bedrohungsmodelle zu erstellen, sondern darum, systematisch nach unzureichendem Schutz zu suchen. Anders ausgedrückt: nach den Lücken in der Verteidigung.
Die Methodik richtet sich an drei Zielgruppen: erstens Entwicklungsteams, die qua Security by Design Sicherheit von Anfang an mitdenken wollen, zweitens Operations- und drittens Securityteams, die produktive Systeme auf Herz und Nieren prüfen müssen.
- Mit Threat Modeling erstellt man Bedrohungsmodelle, die einen unzureichenden Schutz der eigenen IT-Infrastruktur und Software systematisch offenlegen.
- Die Threat-Modeling-Tools reichen von einfachen Diagramming-Werkzeugen über spezialisierte Software und Wissensdatenbanken bis zu Threat-Modeling-Kartenspielen.
- Welches Werkzeug sich am besten eignet, hängt vom Team, den Vorkenntnissen, der Ausrichtung und der etablierten Arbeitsweise ab.
- Wichtiger als das perfekte Tool ist die regelmäßige Aktualisierung und Weiterentwicklung des Threat Model.
Kai Jendrian ist Berater für Informationssicherheit bei Secorvo mit Schwerpunkt Informationssicherheitsmanagement und sichere Software, außerdem Scrum Master, Product Owner und Certified Threat Modeling Professional.
Oliver Oettinger arbeitet als Berater für Informationssicherheit bei Secorvo in Karlsruhe. Dabei beschäftigt er sich mit Pentesting, Bedrohungsanalysen und hält Vorträge auf Konferenzen und Schulungen.
Beide Ansätze haben ihre Berechtigung – und ihre eigenen Herausforderungen.
Das war die Leseprobe unseres heise-Plus-Artikels "Threat Modeling: systematisch Schwachstellen jagen". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
English (US) ·