前沿思虑 | 5G时期，网络安全威胁建模的“道”与“术”

颁布功夫 2020-12-10

威胁建模作为5G时期网络安全实际的起点，与传统的威胁建模有何异同？？？一路来看OG东方厅专家团专家们若何解读其中的“道”与“术”。。


当前，我们正处于数字经济转型和不休升级的时期，5G成为万物互联的纽带和融合创新的驱动力，5G网络的这些特点和业务属性决定了其安全的必要性和重要性，网络安全威胁建模是进行网络安全最佳实际的起点和重要环节。。本文一方面介绍了业界成熟的威胁建模步骤的6个步骤，另一方面论述了若何将此步骤利用于5G网络威胁建模的具体实际。。


5G网络安全，是我们共同面对的全球性问题


5G网络选取基于服务的架构SBA，基于云原生（Cloud Native）、、 、用户平面和节制平面解耦，拥有云化、、 、软件界说、、 、可编程和服务能力盛开的特点。。5G网络在造福社会、、 、撬动社会刷新的同时，也引发了新的网络安全风险，5G 网络安全成为我们共同面对的全球性问题。。


网络安全建设的第一步就是必要明确其面对的威胁微风险，而威胁建模是鉴别和梳理威胁的成熟做法。。因而，必要利用威胁建模的步骤和工具，缜密结合5G网络新业务、、 、新架构、、 、新技术和丰硕的场景，全面地进行5G网络安全威胁建模工作，具体地梳理威胁，齐全地展示5G网络所面对的威胁面和入侵面。。


业界成熟的STRIDE-LM威胁建模步骤


威胁建模是对网络入侵者采取自动积极防御的一项工程步骤，是网络安全最佳实际工作的起点和关键阶段。。威胁建模让安全专家站在入侵者角度思虑问题，并更好地相识若何接见网络和系统，使我们能够明显地预感其粉碎面，并绘制出系统可能蕴含的分歧威胁、、 、入侵、、 、缝隙和对策，从而采取积极防御、、 、自动防护、、 、有理有据的风险治理战术。。


微软开发的STRIDE模型思考了多种威胁类型的影响，在分析活动中，结合威胁谍报、、 、资产、、 、入侵面等多种成分，综合思考各类威胁及其原因和了局。。为了可能更全面地发现并描述威胁和入侵指标的原因、、 、蹊径和了局，必要分析入侵链的高低文。。这里增长一种附加的威胁类型：横向移动（lateral Movement, LM）形成STRIDE-LM模型。。STRIDE-LM威胁建模步骤是一个不休迭代不休循环的动态步骤，主题流程蕴含如下6个步骤，一是鉴别资产，二是鉴别威胁参加者或威胁成分，三是分化系统界说入侵面，四是威胁行为分类，五是威胁评估和评价，六是威胁节制措施。。如图所示：


1.png

威胁建模步骤论（Threat Modeling Methodology）


1、、 、鉴别资产，梳理资产台账，明确威胁对象和�；ざ韵�


信息资产作为对组织拥有价值的信息或资源，是安全战术�；さ亩韵�，必要梳理明显，纪录资产类型，形成资产台账，并指定这些资产在系统或环境中地位，并且随着业务利用的变动而动态更新。。针对所鉴别出的资产，成立对于入侵行为的初步意识。。


2、、 、列出威胁成分


确定要入侵该系统的实体以及原因，蕴含动机、、 、技术水平、、 、资源和指标等特点，并将这些成分逐一列出。。结合威胁谍报，思考分歧的威胁参加者类型将若何粉碎指标资产。。


3、、 、分化系统，界说入侵面


成立了业务架构和技术架构的全貌之后，梳理业务逻辑、、 、服务对象、、 、天堑，并基于所网络的信息将利用法式、、 、系统、、 、环境、、 、组件分化为分层视图。。在整体视图上映射与之通讯的利用法式、、 、系统等元素，而后界说入侵面。。入侵面将援手界说系统和信赖天堑，输出文档化的入侵面界说，利用文档化的入侵面和分化的系统以及重要用例来纪录入侵蹊径，捕获这些蹊径中蕴含的职能组件、、 、信赖域和信赖天堑，蕴含现有的安全节制和服务。。同时思考一样蹊径上可能存在的多种入侵步骤，这些蹊径蕴含物理蹊径和逻辑蹊径。。在这个阶段，通�；崽焐萘鞒掏迹―ata Flow Diagram）或一组DFD。。


4、、 、威胁行为分类，使用适合于系统和组织的分类法对威胁进行分类。。


对威胁进行分析和分类，确保充分理解每种威胁的原因。。


凭据资产性、、 、威胁产生的可能性，结合威胁谍报等成分对威胁所带来的风险严重性进行评估、、 、比力，确定优先级排序。。


5、、 、威胁节制措施


威胁建模的最后一个阶段是选择和执行安全节制措施，以缓解、、 、解除或节制在软件开发或工程工作中发现的威胁，并评估现有节制措施的有效性。。威胁节制措施的选择和执行成效评估的节制职能蕴含网络、、 、检测、、 、防护、、 、治理和响应5个环节，将这5个环节的工作进行迭代和循环使用，直到可能接受残存风险。。


最后，通过考量人员、、 、流程和技术多个维度差距来执行威胁节制措施，同时对这些差距的鉴别能够加强对潜在风险项主张意识与理解，从而转化为全面风险治理的源动力。。


基于STRIDE-LM的5G网络安全威胁建模


遵循STRIDE-LM威胁建模步骤论6大阶段的关键作为对5G网络执行威胁建模，下面进行具体地论述。。


1、、 、鉴别资产


资产是对组织拥有价值的信息或资源，是安全战术�；さ亩韵�。。除了对组织有价值之外，资产还有助于推广司法使命。。在5G网络中，资产蕴含但不限于如下几种：


a）硬件，软件和通讯组件

b）通讯链接

c）节制系统职能，由系统产生和/或使用或在系统内部流动的数据

d）5G系统的物理基础架构

e）与系统交互并可能影响其操作的人员（例如，用户，系统治理员等）


由于其价值，数字资产成为威胁行为者的指标，5G资产分为两大类：


2.png

鉴别资产（Identity Assets）


2、、 、鉴别威胁成分


威胁能够通过威胁主体、、 、资源、、 、动机、、 、蹊径等多种属性来描述，造成威胁的成分可分为报答成分和环境成分。。威胁作用大局可所以对信息系统直接或间接的入侵，可能是偶发的或蓄意的事务，对机密性、、 、齐全性或可用性等方面造成侵害。。


5G网络的威胁参加者分为两大类：


3.png

威胁参加者（Threat Vectors）


5G网络面对的威胁是4G网络威胁和5G自身新威胁的累加。。


4.png

5G网络威胁（5G Cyber Threats）


3、、 、界说入侵面


5G网络的露出领域会随着所承载的垂直行业的变动而越来越大，关键资产的数量因新业务而激增，入侵面也会因而变的动态而扩大。。


分化5G网络结构，将入侵面梳理明显就变得尤为重要。�；�5G网络结构整体视图，绘制用例或用例集的数据流程图DFD，同时，结合威胁和威胁谍报逐步得到5G网络的入侵面。。


5.png

5GDFD和入侵面（5G DFD and Attack Surfaces）


4、、 、威胁分类


这里以STRIDE-LM模型作为威胁行为分类的凭据，具体如下表所示。。


表.1-威胁，安全属性和节制措施（Tab.1-Threat Categorization, Security Properties）

6.png


凭据表1，能够梳理出5G网络威胁分类的齐全列表，样例如表2所述：


表.2-5G威胁威胁分类，安全属性（Tab.2-5G Threat Categorization, Security Properties）

7.png


5、、 、威胁评估和评价


凭据威胁造成的危险对其进行评价，这样就可能优先解决最大的威胁，其次再解决其它威胁。。现实上，解决所有找出的威胁险些是不成能的也不用要，关键是要有决策凭据而忽略掉一些，由于它们产生的机遇很小，即便产生，带来的损失也很小，能够接受残存风险。。


此刻，我们能够将单个事务的损失（SLE）与事务产生可能性（ARO）结合起来，以获得年度预期损失（ALE）。。


ALE暗示针对特定资产的给定威胁多年以来的年均匀损失，其公式为：SLE *ARO = ALE

潜在损失*产生的可能性=预期损失（危险水平）


这种评价方式很容易理解，产生概率大，潜在损失也大的威胁注定危险等级最高；而产生概率低，潜在损失也低的威胁危险等级最低。。产生概率大损失小或者产生概率小损失大的，危险等级就居中。。进行STRIDE-LM威胁分析时能够使用这种单一的评价方式，评价简洁执行容易，但由于评价尺度单一，对于有争议的威胁，若是出现各人对危险等级的评级定见不统一的情况，则跨部门多方沟通协商而定。。


表.3-5G网络威胁评价样例

8.png


6、、 、威胁节制措施


基于前面5个阶段的工作了局，能够针对威胁评价列表中的多个威胁，执行分歧的安全节制措施，这些节制措施蕴含�；�，还蕴含鉴别、、 、认证、、 、检测、、 、防护和响应等多种机制。。


表.4-5G威胁，安全属性和节制措施

9.png


通过全面相识入侵面和威胁行为者，结合节制措施和威胁谍报来综合确定节制措施的有效性。。5G网络威胁节制措施的有效性可与威胁评价相结合使用，并进行持续地迭代与更新。。


利用5G威胁建模一方面能够作为工作抓手来推动跨部门和技术条线的5G业务合作，另一方面能够使安全专家越发深刻地理解业务和网络，并与安全相融合，从而成立5G网络入侵面整体视图，为全面风险治理指明方向和重点。。威胁建模思想和步骤能够加深我们对于5G及其安全的理解，成为解决5G安全问题的“道”与“术”。。



|文章作者：毕亲波 赵呈东|