Часто это препятствует использованию сложных методов усиления защиты, таких как контроль целостности программного обеспечения,

который отслеживаетфактвмешательстватретьих сторон,или атте- стация устройства – проверка с использованием специализирован- ногооборудования,позволяющаяубедиться,чтотестируемоеустрой- ство является надежным.

в Microsoft, является одной из самых популярных систем классифи- кации угроз.Аббревиатура обозначает следующие угрозы:

zzSpoofing (спуфинг, подмена) – обход системы управления до- ступом за счет маскирования под другую систему;

zzTampering (вмешательство) – субъект нарушает целостность системы или данных;

zzRepudiation (сокрытие) – пользователь может скрыть, что предпринимал определенные действия в отношении системы;

zzInformation disclosure (утечка информации) – нарушена кон-

фиденциальностьданных в системе (происходит утечка данных, перехват);

zzDenial of Service (D.o.S, атака «отказ в обслуживании») – зло-

умышленник создает такие условия, при которых легальные пользователи системы не могут получить доступ к ее ресурсам;

zzElevation of privilege (повышение привилегий) – пользова-

тель, которому открыт только ограниченный доступ к системе, может самостоятельно расширить возможности доступа.

STRIDE включаеттри шага: определение архитектуры, разбивку ее на компоненты и определение угроз в отношении каждого компо- нента.Рассмотрим эту схему на примере инфузионной помпы.Пред- положим, помпа по Wi-Fi-связи подключена к серверу в больнице. Сеть небезопасна и не имеет сегментации – это означает, что посе- титель больницы может подключиться к Wi-Fi и в пассивном режиме отслеживать трафик помпы. Мы будем использовать этот сценарий для разработки пошагового плана действий.

Определение архитектуры

Моделирование угроз начинается с изучения архитектуры устрой- ства. Система состоит из помпы и сервера управления, который мо- жет подавать команды на несколько десятков насосов (рис. 2.1). Сер- вер обслуживают медсестры, хотя в некоторых случаях к нему могут получить доступ авторизованные ИТ-администраторы.

Рис.2.1.Архитектура инфузионной помпы (упрощенное представление)

Иногда на управляющем сервере нужно обновлять данные, в том числе библиотеку лекарств и записи о состоянии здоровья пациента.

и микроконтроллера, работающих внутри­ насоса. Мы также рассма- триваем операционную систему сервера управления, диспетчер сер- вера управления (программу, управляющую сервером) и ограничен- ный пользовательский интерфейс – систему, которая ограничивает взаимодействие пользователя с оборудованием.

Теперь, когда мы более четко представляем модель, давайте опре- делим направления передачи информации между компонентами. Таким образом, мы найдем конфиденциальные данные и выясним, какие компоненты может атаковать злоумышленник. Также можно выявить скрытые пути потока данных,о которых мы не знали.В ходе изучения инфраструктуры мы пришли к выводу, что данные переда- ются в обе стороны между всеми компонентами. Отметим это с по- мощью двунаправленных стрелок на рис. 2.3. Запомните эту деталь.

Давайте продолжим, добавив границы доверия к нашей схеме (рис.2.4).Границамидоверияобведеныгруппысатрибутамибезопас­ ности,которые могутпомочьнам выявитьточки входа в потенциаль- но уязвимые потоки данных.