Podklady
Diagramy, popis komponent, rolí a integrací. Chybějící části doplníme na workshopu.
Na co se revize architektury zaměřuje
Orientační pohled, nikoli měření: 3 hlavní oblast, 2 běžná součást, 1 kontext nebo podle rozsahu, 0 mimo běžný rozsah.
| Oblast | Úroveň |
|---|---|
| Návrh a hranice důvěry | hlavní zaměření |
| Autentizace a autorizace | hlavní zaměření |
| Vstupy a zpracování dat | okrajově |
| Obchodní logika | součást testu |
| Tajemství a kryptografie | součást testu |
| Závislosti a sestavení | okrajově |
Některé chyby vznikají už v návrhu
Řada slabin nevznikne překlepem v kódu, ale rozhodnutím v návrhu. Komponenta věří vstupu, který by měla ověřit. Tenanty odděluje jen uživatelské rozhraní. Integrace má širší oprávnění, než potřebuje. Takové chyby se později opravují obtížně a automatické nástroje je obvykle nezachytí.
Revize architektury je vhodná před vývojem nové služby, před velkou změnou, při přechodu do cloudu nebo jako příprava na bezpečnostní požadavky enterprise zákazníka.
Co posuzujeme
- Toky citlivých dat a místa, kde se ukládají, zpracovávají a předávají.
- Hranice důvěry mezi uživatelem, aplikací, službami, integracemi a správou.
- Návrh autentizace, autorizace a oddělení tenantů.
- Integrace, webhooky, fronty a komunikaci se službami třetích stran.
- Správu tajemství, šifrování a klíčů na úrovni návrhu.
- Logování, auditní stopu a možnost dohledat bezpečnostní událost.
Revize je společná práce s vaším týmem
Nepracujeme jen nad dokumenty. Postup vychází z praxe modelování hrozeb, jak ji popisuje OWASP, a odpovídá na čtyři otázky: na čem pracujeme, co se může pokazit, co s tím uděláme a zda jsme to udělali dostatečně.
Pro systematické hledání hrozeb používáme kategorie STRIDE: podvržení identity, neoprávněná změna, popření akce, únik informací, odepření služby a zvýšení oprávnění. Revizi lze zasadit i do širšího programu bezpečného vývoje podle OWASP SAMM. Tyto rámce slouží jako metodika, nikoli jako certifikace.
Workshop
S architekty a vývojáři projdeme toky dat, hranice důvěry a klíčové scénáře.
Model hrozeb
Hrozby, jejich dopad a pravděpodobnost v kontextu vašeho produktu.
Opatření
Doporučení s prioritou a návrhem, jak jejich účinnost ověřit testem nebo review.
Typická zjištění
Důvěra bez ověření
Služba přijímá identitu nebo oprávnění od jiné komponenty bez vlastní kontroly.
Oddělení tenantů
Izolace dat závisí na jediné vrstvě nebo na správném chování klienta.
Široká oprávnění integrací
Servisní účty, tokeny a webhooky mají víc práv, než proces vyžaduje.
Tajemství a klíče
Nejasná správa, rotace nebo oddělení tajemství mezi prostředími.
Chybějící auditní stopa
Citlivé operace nelze zpětně dohledat ani přiřadit konkrétnímu uživateli.
Výstupy a hranice revize
Revize posuzuje návrh tak, jak ho popíšete a jak ho doloží podklady. Neověřuje, zda mu implementace skutečně odpovídá. K tomu slouží code review a aplikační test, které lze dohodnout v navazujícím rozsahu.
- Aktualizovaný diagram toků dat s vyznačenými hranicemi důvěry.
- Model hrozeb s popisem, dopadem a prioritou každé hrozby.
- Doporučená opatření a jejich vlastníky na straně vašeho týmu.
- Návrh, které části ověřit code review nebo penetračním testem.
