Podklady
Diagramy, opis komponentov, rolí a integrácií. Chýbajúce časti doplníme na workshope.
Na čo sa revízia architektúry zameriava
Orientačný pohľad, nie meranie: 3 hlavná oblasť, 2 bežná súčasť, 1 kontext alebo podľa rozsahu, 0 mimo bežného rozsahu.
| Oblasť | Úroveň |
|---|---|
| Návrh a hranice dôvery | hlavné zameranie |
| Autentifikácia a autorizácia | hlavné zameranie |
| Vstupy a spracovanie údajov | okrajovo |
| Obchodná logika | súčasť testu |
| Tajomstvá a kryptografia | súčasť testu |
| Závislosti a zostavenie | okrajovo |
Niektoré chyby vznikajú už v návrhu
Mnohé slabiny nevzniknú preklepom v kóde, ale rozhodnutím v návrhu. Komponent dôveruje vstupu, ktorý by mal overiť. Tenanty oddeľuje len používateľské rozhranie. Integrácia má širšie oprávnenia, než potrebuje. Takéto chyby sa neskôr opravujú ťažko a automatické nástroje ich zvyčajne nezachytia.
Revízia architektúry je vhodná pred vývojom novej služby, pred veľkou zmenou, pri prechode do cloudu alebo ako príprava na bezpečnostné požiadavky enterprise zákazníka.
Čo posudzujeme
- Toky citlivých údajov a miesta, kde sa ukladajú, spracúvajú a odovzdávajú.
- Hranice dôvery medzi používateľom, aplikáciou, službami, integráciami a správou.
- Návrh autentifikácie, autorizácie a oddelenia tenantov.
- Integrácie, webhooky, fronty a komunikáciu so službami tretích strán.
- Správu tajomstiev, šifrovania a kľúčov na úrovni návrhu.
- Logovanie, auditnú stopu a možnosť dohľadať bezpečnostnú udalosť.
Revízia je spoločná práca s vaším tímom
Nepracujeme len nad dokumentmi. Postup vychádza z praxe modelovania hrozieb, ako ju opisuje OWASP, a odpovedá na štyri otázky: na čom pracujeme, čo sa môže pokaziť, čo s tým urobíme a či sme to urobili dostatočne.
Na systematické hľadanie hrozieb používame kategórie STRIDE: podvrhnutie identity, neoprávnená zmena, poprenie akcie, únik informácií, odopretie služby a zvýšenie oprávnení. Revíziu možno zasadiť aj do širšieho programu bezpečného vývoja podľa OWASP SAMM. Tieto rámce slúžia ako metodika, nie ako certifikácia.
Workshop
S architektmi a vývojármi prejdeme toky údajov, hranice dôvery a kľúčové scenáre.
Model hrozieb
Hrozby, ich dopad a pravdepodobnosť v kontexte vášho produktu.
Opatrenia
Odporúčania s prioritou a návrhom, ako ich účinnosť overiť testom alebo review.
Typické zistenia
Dôvera bez overenia
Služba prijíma identitu alebo oprávnenie od iného komponentu bez vlastnej kontroly.
Oddelenie tenantov
Izolácia údajov závisí od jedinej vrstvy alebo od správneho správania klienta.
Široké oprávnenia integrácií
Servisné účty, tokeny a webhooky majú viac práv, než proces vyžaduje.
Tajomstvá a kľúče
Nejasná správa, rotácia alebo oddelenie tajomstiev medzi prostrediami.
Chýbajúca auditná stopa
Citlivé operácie sa nedajú spätne dohľadať ani priradiť konkrétnemu používateľovi.
Výstupy a hranice revízie
Revízia posudzuje návrh tak, ako ho opíšete a ako ho doložia podklady. Neoveruje, či mu implementácia skutočne zodpovedá. Na to slúži code review a aplikačný test, ktoré možno dohodnúť v nadväzujúcom rozsahu.
- Aktualizovaný diagram tokov údajov s vyznačenými hranicami dôvery.
- Model hrozieb s opisom, dopadom a prioritou každej hrozby.
- Odporúčané opatrenia a ich vlastníkov na strane vášho tímu.
- Návrh, ktoré časti overiť code review alebo penetračným testom.
