Threat Modeling
Threat Modeling untersucht, wie Angreifer oder Fehlerquellen ein System und seine Daten beeinflussen können. Die Analyse verbindet schützenswerte Ziele mit plausiblen Wegen und überprüfbaren Gegenmaßnahmen.
- AngriffspfadWeg, auf dem Schaden entsteht.
- BedrohungKonkrete Folge für das Ziel.
- NachweisMaßnahme muss prüfbar sein.
Einordnung
Warum das wichtig ist
Ohne systematische Betrachtung sichert ein Team die Stellen, die ihm zuerst einfallen. Threat Modeling verbindet schützenswerte Ziele, Angriffswege und prüfbare Gegenmaßnahmen. Trust Boundaries und Auth vertiefen eigene Bausteine.
Dieser Baustein führt durch eine Bedrohungsanalyse. Trust Boundaries zeigen Übergänge; Least Privilege begrenzt die Wirkung gewährter Zugriffe.
Auf einen Blick · Angriffspfad trifft Ziel
Angriffspfad der Versandmeldung
Das Team betrachtet eine eingehende Versandmeldung und fragt, ob ein kompromittierter Partner fremde Bestellstatus ändern könnte.
So liest du das Bild
- Angriffspfad Die Stationen von „Partner sendet Meldung“ bis „Statuswechsel gespeichert“.
- Bedrohung Bedrohungen „Nachricht fälschen“, „Fremde Kennung einsetzen“ und „Meldung wiederholen“ mit ihrer Folge.
- Nachweis Unter jeder Maßnahme, etwa „Signatur prüfen“, steht der Test als Nachweis.
- Partner sendet Meldung
- Endpoint nimmt an
- Zuordnung zur Bestellung
- Statuswechsel gespeichert
- Bestellstatus von B-1042
- Nachricht fälschenFalsche Zustellung wird als Versandstatus angezeigt
- Fremde Kennung einsetzenBestellung eines anderen Händlers wechselt unberechtigt den Status
- Meldung wiederholenStatus wird zurückgesetzt oder doppelt verarbeitet
3 von 3 Bedrohungen sind offen.
Nutzen & Grenzen
Hilft, wenn
- Neue Schnittstellen und Identitätswege profitieren von einer Prüfung möglicher Zugriffe und Wirkungen.
- Sensible Datenflüsse, Mandantentrennung und privilegierter Betrieb erfordern eine gezielte Bewertung möglicher Schadensfolgen.
Grenzen
- Das Modell veraltet mit jeder Änderung am Ablauf; Annahmen und Datenflüsse gehören bei wesentlichen Änderungen erneut geprüft.
- Eine Maßnahme ohne Nachweis bleibt Vermutung; ein Test oder Befund zeigt, dass der Angriffsschritt wirklich blockiert ist.
- Es findet nur bekannte Angriffsarten; die Zonen dafür liefern Vertrauensgrenzen, den Schaden begrenzt Least Privilege.
In der Praxis
- Werte und Geltungsbereich festlegen. Benenne Daten, Funktionen und Grenzen, die geschützt werden sollen, sowie die untersuchte Systemversion. Halte Annahmen über Akteure und Berechtigungen fest. Das Ergebnis ist ein klar abgegrenztes Bedrohungsmodell.
- Missbrauchswege und Kontrollen ableiten. Verfolge mögliche Angriffe entlang der Datenflüsse und ordne vorhandene Schutzmaßnahmen zu. Bewerte mögliche Folgen und Unsicherheiten anhand der Systemziele. Damit werden zentrale Risiken priorisierbar.
- Maßnahmen mit Nachweis versehen. Weise für jede priorisierte Lücke eine Schutzmaßnahme, verantwortliche Rolle und Prüfmethode zu. Teste ihre Wirkung in der Implementierung oder im Betrieb. Das Ergebnis verbindet Modell, Änderung und überprüfbaren Schutzstatus.
Ausführliche Erklärung lesen
Threat Modeling verbindet schützenswerte Werte, Akteure, Datenflüsse und Vertrauensgrenzen mit möglichen Missbrauchswegen. Die Untersuchung beschreibt konkrete Ereignisse, ihre Auswirkungen und bestehende Kontrollen. Kategorien wie Spoofing oder Manipulation helfen bei einer systematischen Suche. Das Modell baut auf Trust Boundaries auf und konkretisiert Regeln für Authentifizierung & Autorisierung.
Für relevante Bedrohungen werden verbleibendes Risiko, Maßnahme und Nachweis festgehalten. Ein Nachweis kann ein Negativtest, eine Konfiguration oder eine Betriebsprobe sein. Das Modell gilt für einen Entwurf und seine Annahmen; neue Datenflüsse, Rollen oder Schnittstellen können die Angriffsfläche verändern. Regelmäßige Aktualisierung hält die Maßnahmen an der tatsächlichen Architektur ausgerichtet. Die Priorisierung berücksichtigt sowohl Eintrittsweg als auch mögliche Auswirkung und vorhandene Erkennung. So lenkt das Modell begrenzte Sicherheitsarbeit auf Risiken mit nachvollziehbarer Bedeutung.
STRIDE ist ein Merkschema für sechs Bedrohungsarten: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege.
Selbst prüfen
Teste dich in drei Stufen
AblesenIm Bild nachsehen
Welche Maßnahme stoppt im Visual die Bedrohung „Meldung wiederholen“?
Lösung mit Begründung ansehen
„Sequenz und Übergänge prüfen“. Der Nachweis ist ein Test mit wiederholter alter Meldung.
AnwendenAuf eine neue Lage übertragen
Ein Partner sendet eine gültig signierte Meldung mit fremder Kennung. Welche Bedrohung liegt vor und was schützt?
Lösung mit Begründung ansehen
„Fremde Kennung einsetzen“. Die Signatur reicht nicht; die Mandantenzuständigkeit prüfen stoppt sie, mit Protokoll und Test.
BewertenEine Alternative abwägen
Das Team setzt nur die Signaturprüfung um. Was spricht dafür, was dagegen, was empfiehlst du?
Lösung mit Begründung ansehen
Vorteil: geringer Aufwand, Fälschungen sind klar testbar. Nachteil: Fremde Kennung und Wiederholung bleiben offen, da sie gültig signiert sind. Empfehlung: alle drei Maßnahmen mit Nachweis umsetzen.
Vertiefen
Diese Bausteine führen die Gedanken dieser Seite weiter.
Quellen
- OWASP – Threat Modeling (öffnet in neuem Tab)Führt durch Bedrohungsanalyse mit Systemmodell, Angriffsflächen und Gegenmaßnahmen.
- OWASP – Threat Modeling Cheat Sheet (öffnet in neuem Tab)Liefert ein strukturiertes Vorgehen von Systemzerlegung bis Gegenmaßnahmen.
- Microsoft – Threat Modeling Tool threats (öffnet in neuem Tab)Erklärt STRIDE-Kategorien für die systematische Suche nach Bedrohungen.