- 1. Teil: Einleitung
- 2. Teil: Analyse der Anwendung
- 3. Teil: Datenfluss-Diagramm
- 4. Teil: Ermittlung und Einstufung von Bedrohungen
- 5. Teil: Security Controls – Maßnahmen zur Bedrohungsabwehr
- 6. Teil: Bedrohungsanalyse – Threat Analysis
- 7. Teil: Einstufung von Bedrohungen – Ranking of Threats
- 8. Teil: Gegenmaßnahmen
- 9. Teil: Zusammenfassung
Gegenmaßnahmen
Gegenmaßnahmen sollen Bedrohungen entgegenwirken und bekämpfen, und somit das System schützen und stabil halten. Bei der Analyse eines Systems sollte zunächst untersucht werden, welche Gegenmaßnahmen aktuell im Einsatz sind. Diese Phase nennt man Identifikation von Gegenmaßnahmen.
Sinn und Zweck der Identifikation von Gegenmaßnahmen ist es, herauszufinden, ob wichtige Bedrohungen bereits bekämpft werden und ob dieser Schutz ausreichend ist, oder verstärkt werden soll. Anhand des Ergebnisses der Bedrohungsanalyse sollte zu jeder Bedrohung untersucht werden, ob passende Maßnahmen vorhanden sind. Wenn kein adäquater Schutz vorhanden ist, ist dies als Schwachstelle (Vulnerability) zu definieren. Anhand der bereits vorhandenen Kategorisierung Bedrohungen (z.B. nach STRIDE oder ASF) ist es einfacher passende Gegenmaßnahmen zu finden. Dazu existieren Checklisten, die dabei helfen sollen.
Gegenmaßnahmen für ASF-Bedrohungskategorien:
|
ASF Bedrohungen und Gegenmaßnahmen |
|
| Bedrohungs-Kategorie | Gegenmaßnahme |
| Authentifizierung |
|
| Autorisierung |
|
| Konfigurations-Management |
|
| Datenschutz bei Speicherung und Übertragung |
|
| Eingabevalidierung, Validierung von Daten und Parametern |
|
| Fehlerhandling und Exception-Management |
|
| User- und Session-Management |
|
| Auditing und Logging |
|
Gegenmaßnahmen für STRIDE-Bedrohungskategorien:
|
STRIDE Bedrohungen und Gegenmaßnamen |
|
| Bedrohungs-Kategorie | Gegenmaßnahme |
| Spoofing – (Verschleierung) |
|
| Tampering – (Verfälschung) |
|
| Repudiation – (Leugbarkeit) |
|
| Information disclosure – (Enthüllung von Geheimnissen) |
|
| Denial of service – (Dienstverweigerung) |
|
| Elevation of privilege – (Erhöhen der Privilegien) |
|
Bedrohungsprofil
Sind die Bedrohungen eines Systems und ihre entsprechenden Gegenmaßnahmen identifiziert, ist es möglich davon ein Bedrohungsprofil daraus abzuleiten. Folgende Kriterien sollten dabei berücksichtigt werden.
| Bedrohungsart | Beschreibung |
| Ungeschützte Bedrohungen | Bedrohungen zu denen es keine Gegenmaßnahmen gibt und eine Schwachstelle darstellen können voll ausgenutzt werden und einen Angriff verursachen. |
| Teilweise geschützte Bedrohungen | Bedrohungen die teilweise geschützt oder abgemildert werden können von einer oder mehreren Gegenmaßnamen, stellen eine Schwachstelle dar, die zumindest teilweise ausgenutzt werden kann. Es besteht ein limitiertes Risiko eines Angriffs. |
| Geschützte Bedrohungen | Diese Bedrohungen haben eine adäquate Gegenmaßnahme, sind somit keine Schwachstelle und stellen kein Risiko für einen Angriff dar. |
Strategien zu Schutzmaßnahmen
Ziel des Risikomanagements ist es, Auswirkungen zu begrenzen, die durch Ausnutzung einer Schwachstelle der Anwendung erfolgen kann. Dies kann durch eine Risikominderungs-Strategie erreicht werden, die als Reaktion auf eine erkannte Bedrohung bereitgestellt werden kann.
Generell gibt es 5 Optionen mit einer Schwachstelle umzugehen:
- Nichts tun: z.B. auf das Beste hoffen
- Risiko-Aufklärung: z.B. die Benutzer informieren und warnen, welches Risiko besteht
- Risikominderung: z.B. Gegenmaßnahmen einleiten
- Akzeptieren des Risikos: z.B. nach Evaluierung der Auswirkungen sich dafür entscheiden, das Risiko in Kauf zu nehmen
- Risiko weitergeben: z.B. durch vertragliche Regelung oder Versicherung
- Risiko beenden: z.B. durch Abschalten des Systems oder der Schnittstelle
Die Entscheidung, welche Strategie anzuwenden ist, hängt im Wesentlichen davon ab, welche Auswirkungen eine Bedrohung haben kann, sowie von der Auftrittswahrscheinlichkeit und von den Kosten die es mit sich bringt, ein Risiko weiterzugeben oder zu vermeiden (Kosten oder Verluste durch Redesign). Somit basiert die Entscheidung auf dem jeweiligen Risiko, das eine Bedrohung gegenüber einem System darstellt. Eine gewählte Strategie mindert dabei nicht die Bedrohung selbst, sondern nur das Risiko, das es für das System darstellt. Letztendlich muss das Gesamtrisiko abgewogen werden, ab wann ein Risiko gegenüber dem fachlichen Nutzen nicht mehr vertretbar ist.
