STRIDE — это разработанная Microsoft система моделирования угроз, которая разделяет риски безопасности на шесть категорий: подмена данных, несанкционированное вмешательство, отказ от авторизации, раскрытие информации, отказ в обслуживании и повышение привилегий. Она предоставляет разработчикам воспроизводимый способ задать вопрос «что может пойти не так?» на любом этапе жизненного цикла программного обеспечения.
Почему разработчикам следует использовать модель угроз STRIDE в программных проектах?
Если вы отправляете код, управление pipelines, или трогательно CI/CD В любом случае, моделирование угроз STRIDE должно быть частью вашего инструментария. STRIDE расшифровывается как Spoofing (подмена), Tampering (подмена), Repudiation (отказ от данных), Information Disclosure (раскрытие информации), Denial of Service (отказ в обслуживании) и Elevation of Privilege (несанкционированный доступ) — шесть категорий угроз безопасности, которые разработчики должны учитывать на протяжении всего жизненного цикла программного обеспечения.
Создано Microsoft в начале 2000-х годов.Фреймворк моделирования угроз STRIDE может показаться устаревшим подходом. Но его преимущество заключается в непреходящей простоте: он помогает командам систематически задаваться вопросом: «Что здесь может пойти не так?». Несмотря на то, насколько сильно изменилась система доставки программного обеспечения, появились облачные архитектуры, контейнеризация и CI/CD pipelineSTRIDE остается крайне актуальным. Он идеально соответствует потребностям современный DevSecOps предлагая практичный и удобный для разработчиков метод проактивного выявления и устранения рисков безопасности.
Это не теоретическая модель, предназначенная для аудита или постмортинга. Модель угроз STRIDE — это ваша карта для обнаружения уязвимостей до того, как это сделают злоумышленники. Пишете ли вы сценарий развертывания, проверяете ли pull requestили подключая сторонние сервисы, STRIDE раскрывает возможности, которыми могут воспользоваться злоумышленники.
DevSecOps подразумевает создание безопасного программного обеспечения с самого начала. STRIDE не предназначен для замедления работы, а для минимизации неприятных сюрпризов в будущем за счёт проверки необходимых данных уже сейчас. Постоянное применение фреймворка моделирования угроз STRIDE повышает вашу способность предвидеть и решать проблемы на ранних этапах.
Краткий обзор: категории STRIDE, которые необходимо понимать разработчикам
Модель угроз STRIDE разделяет угрозы на шесть категорий. Каждая из них соответствует распространённым уязвимостям программного обеспечения и инфраструктуры.
S: Подмена Личность (Притворяясь тем, кто ты есть) Риск: Неавторизованные пользователи или службы выдают себя за тех, кем они не являются. Пример: скомпрометированный исполнитель непрерывной интеграции выдаёт себя за доверенного развёртывающего пользователя и вносит небезопасные изменения. CI/CD Сценарий: Злоумышленник получает доступ к агенту CI и запускает задания, которые, как представляется, исходят от доверенного члена команды.
T: фальсификация с данными или кодом (вмешательство в ваши дела) Риск: Злоумышленники незаметно меняют код, конфигурации или артефакты. Пример: вредоносный скрипт изменяет образ контейнера во время сборки. CI/CD Сценарий: Шаг сборки незаметно изменяется для развертывания измененного образа из неавторизованного источника.
R: Отказ (Нет доказательств того, кто что сделал) Риск: Отсутствие подотчётности или аудиторского следа. Пример: слияние происходит без подтверждения того, кто его одобрил или создал. CI/CD Сценарий: сборки и развертывания выполняются без регистрации того, кто их инициировал, что затрудняет отслеживание проблем.
I: Раскрытие информации (Утечка секретов) Риск: Утечка конфиденциальных данных в журналах, сборках или артефактах. Пример: секреты, записанные в журналы при неудачном выполнении скрипта. CI/CD Сценарий: переменные среды с секретами становятся доступными pipeline журналы или сообщения об ошибках.
D: Отказ в обслуживании (Уничтожение ваших ресурсов) Риск: Процессы или службы становятся недоступными из-за некорректной логики или злоупотреблений. Пример: бесконечные циклы заданий засоряют очередь непрерывной интеграции. CI/CD Сценарий: неправильно настроенный pipeline срабатывает слишком часто, потребляя всю доступную мощность питателя.
E: Повышение привилегий (Получение большего доступа, чем разрешено) Риск: Пользователи или службы получают разрешения, которых им не положено. Пример: A pipeline задание выполняется с правами доступа на уровне производства, которых у него не должно быть. CI/CD Сценарий: задание участника выполняется с повышенными разрешениями из-за неправильно настроенных элементов управления доступом.
Моделирование угроз STRIDE в DevOps: краткая справочная таблица
| Категория | Риск DevOps | Пример из реального мира |
|---|---|---|
| Подмена | Выдача себя за других пользователей или службы | CI-runner подменяет производственное развертывание |
| фальсификация | Несанкционированные изменения кода или конфигурации | Вредоносный скрипт в развертывании pipeline |
| Отказ | Никаких журналов или контрольных записей действий | Слияние с нет commit подписание или контрольный след |
| Раскрытие информации | Утечка секретов в журналах или сборках | Учетные данные печатаются в журналах CI |
| Отказ в обслуживании | Истощение ресурсов или прерывание рабочего процесса | рекурсивный pipeline рабочие места подавляют бегунов |
| Повышение привилегий | Избыточные права доступа для пользователей или процессов | Дев pipeline токен с доступом prod |
Применение STRIDE в рабочих процессах DevOps
Подмена в DevOps CI/CD Pipelines
Неавторизованные процессы выдают себя за доверенные pipeline Этапы. Репозитории: Скомпрометированные учётные записи участников распространяют вредоносный код под легитимным именем пользователя. Зависимости: Вредоносные пакеты используют имена, похожие на названия популярных библиотек (тайпсквоттинг), чтобы казаться надёжными.
Вмешательство в DevOps CI/CD Pipelines
Изменённый скрипт развёртывания меняет контейнеры или вставляет вредоносные команды. Репозитории: принудительное размещение commitОбход проверки кода, внедрение бэкдоров. Зависимости: Вредоносные обновления библиотек внедряют скрытую функциональность.
Отказ от обязательств в DevOps CI/CD Pipelines
Развертывания запускаются без регистрации того, кто их инициировал. Репозитории: Отсутствие commit Подпись делает невозможным проверку источника изменений. Зависимости: изменения в пакете извлекаются без проверяемого журнала изменений или подписи.
Раскрытие информации в DevOps CI/CD Pipelines
Секреты, обнаруженные в журнале из-за подробной отладки. Репозитории: файлы .env или секреты конфигурации были случайно раскрыты. commitЗависимости: пакеты с неправильно настроенными разрешениями предоставляют доступ к конфиденциальным файлам.
Отказ в обслуживании в DevOps CI/CD Pipelines
Перегруженные исполнители из-за бесконечных циклов триггеров. Репозитории: Вредоносные материалы с очень большими файлами или сложными триггерами сборки. Зависимости: Рекурсивные или плохо оптимизированные библиотеки потребляют чрезмерное количество системных ресурсов.
Повышение привилегий в DevOps CI/CD Pipelines
Общие токены позволяют пользователям, не являющимся администраторами, выполнять административные задачи. Репозитории: Git hooks или скрипты автоматизации запускаются с ненужными привилегиями. Зависимости: сторонние библиотеки выполняют скрипты установки с правами root во время сборки.
Встроенные примеры: до и после применения STRIDE
Пример отказа: неподписанный Commits
Что исправляется: предотвращение непроверенных слияний путем проверки commit подписи.
// Anyone can commit and push, no verification of who or with what identity
git commit -m "update deploy config"
git push origin main
// No branch protection: unsigned, unverified commits merge freely
// .github/settings.yml (missing or absent)Нет подписи, нет обязательного рецензента, и нет возможности впоследствии доказать, кто внес это изменение или было ли оно изменено во время передачи.
// Commit signing enabled and enforced locally
git config commit.gpgsign true
git commit -S -m "update deploy config"
git push origin main
// Branch protection requires signed commits before merge
// .github/settings.yml
branches:
- name: main
protection:
required_signatures: true
required_pull_request_reviews:
required_approving_review_count: 1Теперь каждый commit on main имеет подтверждаемую подпись и не имеет подписи. commitОтклонение заявок происходит на уровне филиала, что устраняет разрыв в механизме отказа от принятия решения.
Пример разглашения информации: секреты в журналах событий.
Что исправляется: предотвращение утечки секретной информации путем избегания прямой печати конфиденциальных переменных среды.
// CI job prints the secret directly to logs for "debugging"
steps:
- name: Deploy
run: |
echo "Using API key: $API_KEY"
curl -H "Authorization: Bearer $API_KEY" https://api.example.com/deployЕсли выполнение этой задачи завершится неудачей или у коллеги есть доступ к логам, $API_KEY Теперь этот файл находится в открытом текстовом виде в истории CI и виден любому, кто имеет доступ на чтение. pipeline.
// Secret is referenced, never printed, and CI masks it by default
steps:
- name: Deploy
run: |
curl -H "Authorization: Bearer ${{ secrets.API_KEY }}" https://api.example.com/deploy
env:
API_KEY: ${{ secrets.API_KEY }}Ключ извлекается из хранилища секретов CI во время выполнения, никогда не выводится в стандартный вывод, и большинство платформ CI автоматически скрывают его в логах, даже если он случайно появляется в выводе.
Как разработчики могут применять STRIDE без опыта работы в сфере безопасности
Если вы работаете в DevSecOps, моделирование угроз Это должно стать вашей второй натурой. Используя моделирование угроз STRIDE в качестве руководства при проверке и настройке автоматизации, вы сможете предвидеть проблемы до того, как они повлияют на производственную среду.
Вам не нужно быть экспертом по безопасности. Просто задавайте вопросы в STRIDE в ходе вашего обычного рабочего процесса:
Во время проверки кода:
- Может ли кто-то подделать личность?
- Можно ли это как-то подделать?
Во время CI/CD Отзыв:
- Раскрываются ли где-нибудь секреты?
- Можно ли отследить каждое действие?
В ходе анализа зависимостей:
- Берем ли мы информацию из проверенных источников?
- Может ли эта зависимость повысить свои разрешения?
А затем автоматизируйте то, что можете:
- Использовать подписанное commits
- Реализовать подписывание артефактов
- Настройте сканирование секретов
- Мониторинг обновлений зависимостей
Эти небольшие шаги позволяют реализовать модель угроз STRIDE без дополнительных накладных расходов.
Прежде чем последовательно применять моделирование угроз STRIDE, полезно знать, когда и где оно вписывается в ваш рабочий процесс.
Полное руководство по защите вашего CI/CD Pipeline
Узнайте, как выявлять, предотвращать и реагировать на CI/CD риски безопасности.
Интеграция STRIDE в процесс моделирования угроз
STRIDE органично вписывается в жизненный цикл разработки, являясь простым и воспроизводимым инструментом для раннего выявления потенциальных угроз безопасности. Он наиболее эффективен при последовательном применении на ключевых этапах:
- Во время проверки кода: Задавайте вопросы типа «Можно ли это подделать или подделать?» или «Есть ли аудиторский след для этого изменения?»
- Во время настройки CI/CD Pipelines: Оценить, если секреты раскрыты, если задания отслеживаются или если области разрешений слишком широки.
- In Управление зависимостями: Проверьте, проверены ли сторонние пакеты, подписаны ли они и не содержат ли они рискованных установочных скриптов или чрезмерного доступа.
- При планировании новых функций или услуг, используйте фреймворк моделирования угроз STRIDE в качестве контрольного списка для мозгового штурма и определения возможных проблем в каждой категории угроз.
Это делает моделирование угроз STRIDE практической и действенной частью ваших усилий по обеспечению безопасности, не тяжеловесным процессом, а образом мышления, встроенным в ваши ежедневные процессы разработки и DevOps.
Как Xygeni соотносится с каждой категорией STRIDE
Xygeni не просто выявляет риски, а принимает меры по их устранению на всех уровнях. pipeline.
Вот как Ксигени карты обнаружения для каждой категории ШАГА в реальных условиях pipeline:
- Спуфинг: Флаги обнаружения аномалий Xygeni CI/CD Неправомерное использование токенов и задачи, выдающие себя за доверенное лицо, оповещают команду, чтобы можно было сменить учетные данные перед запуском задачи.
- Фальсификация: Система обнаружения несанкционированных изменений кода Xygeni выявляет такие изменения, как YAML-файлы развертывания, файлы сборки и т.д. IaC шаблоны и уведомляет команду о конкретных действиях. commit и затронутые файлы.
- Отказ: Флаги Xygeni без подписи commitи принудительные запросы, которые обходят защиту ветвей, предоставляют командам возможность контролировать подписанные файлы.commit политики, которые будут приняты до завершения слияния.
- Раскрытие информации: Функция сканирования секретов Xygeni обнаруживает раскрытые учетные данные в логах, коде и истории CI, проверяет, остаются ли они активными, и запускает автоматическое аннулирование для поддерживаемых типов секретов.
- Отказ в обслуживании: Система обнаружения аномалий Xygeni выявляет необычные явления. CI/CD система оповещает команду в режиме реального времени о любых отклонениях, таких как ненормальная продолжительность сборки или частота выполнения заданий.
- Повышение уровня привилегий: Система мониторинга с использованием принципа минимальных привилегий Xygeni выявляет пользователей с избыточными привилегиями или неактивных пользователей. CI/CD токены и предоставляют их для исправления посредством Health Check функцию.
Заключение: STRIDE делает моделирование угроз практичным для разработчиков
Фреймворк моделирования угроз STRIDE предоставляет разработчикам чёткую и действенную платформу для раннего выявления рисков. Не думайте слишком много. Просто спросите себя: «Что здесь может пойти не так?» для каждой части вашего кода, репозитория, pipelineили зависимость.
Моделирование угроз STRIDE помогает устранять ошибки безопасности до их появления. А такие инструменты, как Xygeni, помогают автоматизировать этот процесс, не усложняя его.
Используйте модель угроз STRIDE в процессе написания, проверки и отправки кода. Постоянное моделирование угроз STRIDE помогает поддерживать pipelineбезопасны, даже при их масштабировании и развитии.
FAQ
Что означает аббревиатура STRIDE?
Подмена данных, фальсификация, отказ от ответственности, раскрытие информации, отказ в обслуживании и повышение привилегий — шесть категорий, созданных Microsoft для систематизации угроз безопасности.
Для использования Stride мне необходим опыт работы в сфере информационной безопасности?
Нет. STRIDE работает как контрольный список вопросов, например, «можно ли это подделать?» или «можно ли это отследить?», которые разработчики могут задавать во время обычной проверки кода. CI/CD конфигурации.
Актуален ли STRIDE по-прежнему для облачных приложений? CI/CD среды?
Да. Несмотря на то, что он был создан до появления контейнеризации и CI/CD были standardШесть категорий STRIDE напрямую соответствуют современному стилю. pipeline риски, такие как неправомерное использование токенов, неподписанные токены commitи раскрытие секретов.
