Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Администрирование » Сети
Страницы: 1
RSS
Модель угроз
 
#1
Это нравится:0Да/0Нет
19.03.2008 17:20:58
Дорогие специалисты. Подскажите(раскажите) как построить модель угроз для ЛВС.
Заранее благодарен
 
 
 
#2
Это нравится:0Да/0Нет
19.03.2008 20:21:24
STRIDE, DREAD за основу.
 
 
 
#3
Это нравится:0Да/0Нет
22.03.2008 23:52:03
Андрей, а что это такое? Можно ссылку?
 
 
 
#4
Это нравится:0Да/0Нет
23.03.2008 23:05:17
Всё из Microsoft Threat Modeling Methodology.

DREAD (Методика оценки риска) - Damage potential (что может быть сломано), Reproducibility (повторяемость), Exploitability (пригодность угрозы для использования), Affected users (на каких пользователей повлияет), Discoverability (возможно ли детектировать факт использования).

STRIDE (Модель деления угроз на категории)
Spoofing (подделка идентификации), Tampering (взлом), Information disclosure (раскрытие информации), Denial of service (отказ в обслуживании) и Elevation of privilege (увеличение привилегий).

Руководствуясь данными факторами, можно выполнить требуемое, применительно как к сети, системе, так и программному продукту.
 
 
 
#5
Это нравится:0Да/0Нет
29.03.2008 12:34:56
Цитата
Денис Батранков пишет:

                                                               Андрей, а что это такое? Можно ссылку?


Кстати, почитайте статью Андрея Андреевича в журнале ИТ-Спец. за февраль 2008.
 
 
 
#6
Это нравится:0Да/0Нет
29.03.2008 19:48:30
Спасибо.
А кто-нибудь применял STRIDE и DREAD в реальной жизни?

У каждой компании есть свои умные слова: у IBM это MASS, у ISS это ADDME
 
 
 
#7
Это нравится:0Да/0Нет
29.03.2008 23:02:51
Я после долгих метаний остановился на CVSSv2. Не всегда адекватна, только для технологических уязвимостей, но воспроизводима, понятна и "индастри суппортед".

Но методики оценки риска - при составлении модели угроз особо не нужны:)
Тут больше нужны "бест практис", где угрозы перечислены. Их уже оценивать по рискам и ура вперед.
 
 
 
#8
Это нравится:0Да/0Нет
30.03.2008 00:23:21
Применяли, деревья строили и потом сильно любовались ими.

По поводу бест-практис - поддерживаю. Ещё черпать подобной информации можно из профилей безопасости АНБ США, документаций BSI. В этом плане у них хорошо документированы угрозы.

Цитата
Но методики оценки риска - при составлении модели угроз особо не нужны:)

Цитата
Их уже оценивать по рискам и ура вперед.

Поэтому я про методику и намекнул :)
 
 
 
Страницы: 1
Читают тему