前沿思虑 | 5G时期，，，，，，，网络安全威胁建模的“路”与“术”

颁布功夫 2020-12-10

威胁建模作为5G时期网络安全实际的起点，，，，，，，与传统的威胁建模有何异同？？？？？？一路来看8827太阳集团专家团专家们若何解读其中的“路”与“术”。。。。 。。。


当前，，，，，，，我们正处于数字经济转型和不休升级的时期，，，，，，，5G成为万物互联的纽带和融合创新的驱动力，，，，，，，5G网络的这些特点和业务属性决定了其安全的必要性和沉要性，，，，，，，网络安全威胁建模是进行网络安全最佳实际的起点和沉要环节。。。。 。。。本文一方面介绍了业界成熟的威胁建模步骤的6个步骤，，，，，，，另一方面论述了若何将此步骤利用于5G网络威胁建模的具体实际。。。。 。。。


5G网络安全，，，，，，，是我们共同面对的全球性问题


5G网络选取基于服务的架构SBA，，，，，，，基于云原生（Cloud Native）、用户平面和节造平面解耦，，，，，，，拥有云化、软件界说、可编程和服务能力盛开的特点。。。。 。。。5G网络在造福社会、撬动社会刷新的同时，，，，，，，也引发了新的网络安全风险，，，，，，，5G 网络安全成为我们共同面对的全球性问题。。。。 。。。


网络安全建设的第一步就是必要明确其面对的威胁微风险，，，，，，，而威胁建模是鉴别和梳理威胁的成熟做法。。。。 。。。因而，，，，，，，必要利用威胁建模的步骤和工具，，，，，，，缜密结合5G网络新业务、新架构、新技术和丰硕的场景，，，，，，，全面地进行5G网络安全威胁建模工作，，，，，，，具体地梳理威胁，，，，，，，齐全地展示5G网络所面对的威胁面和入侵面。。。。 。。。


业界成熟的STRIDE-LM威胁建模步骤


威胁建模是对网络入侵者采取自动积极防御的一项工程步骤，，，，，，，是网络安全最佳实际工作的起点和关键阶段。。。。 。。。威胁建模让安全专家站在入侵者角度思虑问题，，，，，，，并更好地相识若何接见网络和系统，，，，，，，使我们能够明显地预感其粉碎面，，，，，，，并绘造出系统可能蕴含的分歧威胁、入侵、缝隙和对策，，，，，，，从而采取积极防御、自动防护、有理有据的风险治理战术。。。。 。。。


微软开发的STRIDE模型思考了多种威胁类型的影响，，，，，，，在分析活动中，，，，，，，结合威胁谍报、资产、入侵面等多种成分，，，，，，，综合思考各类威胁及其原因和了局。。。。 。。。为了可能更全面地发现并描述威胁和入侵指标的原因、蹊径和了局，，，，，，，必要分析入侵链的高低文。。。。 。。。这里增长一种附加的威胁类型：横向移动（lateral Movement, LM）形成STRIDE-LM模型。。。。 。。。STRIDE-LM威胁建模步骤是一个不休迭代不休循环的动态步骤，，，，，，，主题流程蕴含如下6个步骤，，，，，，，一是鉴别资产，，，，，，，二是鉴别威胁参加者或威胁成分，，，，，，，三是分化系统界说入侵面，，，，，，，四是威胁行为分类，，，，，，，五是威胁评估和评价，，，，，，，六是威胁节造措施。。。。 。。。如图所示：


1.png

威胁建模步骤论（Threat Modeling Methodology）


1、鉴别资产，，，，，，，梳理资产台账，，，，，，，明确威胁对象和�；；； ；；ざ韵�


信息资产作为对组织拥有价值的信息或资源，，，，，，，是安全战术�；；； ；；さ亩韵螅�，，，，，必要梳理明显，，，，，，，纪录资产类型，，，，，，，形成资产台账，，，，，，，并指定这些资产在系统或环境中地位，，，，，，，并且随着业务利用的变动而动态更新。。。。 。。。针对所鉴别出的资产，，，，，，，成立对于入侵行为的初步意识。。。。 。。。


2、列出威胁成分


确定要入侵该系统的实体以及原因，，，，，，，蕴含动机、技术水平、资源和指标等特点，，，，，，，并将这些成分逐一列出。。。。 。。。结合威胁谍报，，，，，，，思考分歧的威胁参加者类型将若何粉碎指标资产。。。。 。。。


3、分化系统，，，，，，，界说入侵面


成立了业务架构和技术架构的全貌之后，，，，，，，梳理业务逻辑、服务对象、天堑，，，，，，，并基于所网络的信息将利用法式、系统、环境、组件分化为分层视图。。。。 。。。在整体视图上映射与之通讯的利用法式、系统等元素，，，，，，，而后界说入侵面。。。。 。。。入侵面将援手界说系统和信赖天堑，，，，，，，输出文档化的入侵面界说，，，，，，，利用文档化的入侵面和分化的系统以及重要用例来纪录入侵蹊径，，，，，，，捕获这些蹊径中蕴含的职能组件、信赖域和信赖天堑，，，，，，，蕴含现有的安全节造和服务。。。。 。。。同时思考一样蹊径上可能存在的多种入侵步骤，，，，，，，这些蹊径蕴含物理蹊径和逻辑蹊径。。。。 。。。在这个阶段，，，，，，，通�；；； ；；崽焐萘鞒掏迹―ata Flow Diagram）或一组DFD。。。。 。。。


4、威胁行为分类，，，，，，，使用适合于系统和组织的分类法对威胁进行分类。。。。 。。。


对威胁进行分析和分类，，，，，，，确保充分理解每种威胁的原因。。。。 。。。


凭据资产性、威胁产生的可能性，，，，，，，结合威胁谍报等成分对威胁所带来的风险严沉性进行评估、比力，，，，，，，确定优先级排序。。。。 。。。


5、威胁节造措施


威胁建模的最后一个阶段是选择和执行安全节造措施，，，，，，，以缓解、解除或节造在软件开发或工程工作中发现的威胁，，，，，，，并评估现有节造措施的有效性。。。。 。。。威胁节造措施的选择和执行成效评估的节造职能蕴含网络、检测、防护、治理和响应5个环节，，，，，，，将这5个环节的工作进行迭代和循环使用，，，，，，，直到可能接受残存风险。。。。 。。。


最后，，，，，，，通过考量人员、流程和技术多个维度差距来执行威胁节造措施，，，，，，，同时对这些差距的鉴别能够加强对潜在风险项主张意识与理解，，，，，，，从而转化为全面风险治理的源动力。。。。 。。。


基于STRIDE-LM的5G网络安全威胁建模


遵循STRIDE-LM威胁建模步骤论6大阶段的关键作为对5G网络执行威胁建模，，，，，，，下面进行具体地论述。。。。 。。。


1、鉴别资产


资产是对组织拥有价值的信息或资源，，，，，，，是安全战术�；；； ；；さ亩韵蟆�。。。 。。。除了对组织有价值之表，，，，，，，资产还有助于推广司法使命。。。。 。。。在5G网络中，，，，，，，资产蕴含但不限于如下几种：


a）硬件，，，，，，，软件和通讯组件

b）通讯链接

c）节造系统职能，，，，，，，由系统产生和/或使用或在系统内部流动的数据

d）5G系统的物理基础架构

e）与系统交互并可能影响其操作的人员（例如，，，，，，，用户，，，，，，，系统治理员等）


由于其价值，，，，，，，数字资产成为威胁行为者的指标，，，，，，，5G资产分为两大类：


2.png

鉴别资产（Identity Assets）


2、鉴别威胁成分


威胁能够通过威胁主体、资源、动机、蹊径等多种属性来描述，，，，，，，造成威胁的成分可分为报答成分和环境成分。。。。 。。。威胁作用大局可所以对信息系统直接或间接的入侵，，，，，，，可能是偶发的或蓄意的事务，，，，，，，对机密性、齐全性或可用性等方面造成侵害。。。。 。。。


5G网络的威胁参加者分为两大类：


3.png

威胁参加者（Threat Vectors）


5G网络面对的威胁是4G网络威胁和5G自身新威胁的累加。。。。 。。。


4.png

5G网络威胁（5G Cyber Threats）


3、界说入侵面


5G网络的露出领域会随着所承载的垂直行业的变动而越来越大，，，，，，，关键资产的数量因新业务而激增，，，，，，，入侵面也会因而变的动态而扩大。。。。 。。。


分化5G网络结构，，，，，，，将入侵面梳理明显就变得尤为沉要。。。。 。。�；；； ；；�5G网络结构整体视图，，，，，，，绘造用例或用例集的数据流程图DFD，，，，，，，同时，，，，，，，结合威胁和威胁谍报逐步得到5G网络的入侵面。。。。 。。。


5.png

5GDFD和入侵面（5G DFD and Attack Surfaces）


4、威胁分类


这里以STRIDE-LM模型作为威胁行为分类的凭据，，，，，，，具体如下表所示。。。。 。。。


表.1-威胁，，，，，，，安全属性和节造措施（Tab.1-Threat Categorization, Security Properties）

6.png


凭据表1，，，，，，，能够梳理出5G网络威胁分类的齐全列表，，，，，，，样例如表2所述：


表.2-5G威胁威胁分类，，，，，，，安全属性（Tab.2-5G Threat Categorization, Security Properties）

7.png


5、威胁评估和评价


凭据威胁造成的危险对其进行评价，，，，，，，这样就可能优先解决最大的威胁，，，，，，，其次再解决其它威胁。。。。 。。。现实上，，，，，，，解决所有找出的威胁险些是不成能的也不用要，，，，，，，关键是要有决策凭据而忽略掉一些，，，，，，，由于它们产生的机遇很幼�。。。 。。。�，，，，，即便产生，，，，，，，带来的损失也很幼�。。。 。。。�，，，，，能够接受残存风险。。。。 。。。


此刻，，，，，，，我们能够将单个事务的损失（SLE）与事务产生可能性（ARO）结合起来，，，，，，，以获得年度预期损失（ALE）。。。。 。。。


ALE暗示针对特定资产的给定威胁多年以来的年均匀损失，，，，，，，其公式为：SLE *ARO = ALE

潜在损失*产生的可能性=预期损失（危险水平）


这衷炖价方式很容易理解，，，，，，，产生概率大，，，，，，，潜在损失也大的威胁注定危险等级最高；；； ；；而产生概率低，，，，，，，潜在损失也低的威胁危险等级最低。。。。 。。。产生概率大损失幼或者产生概率幼损失大的，，，，，，，危险等级就居钟祝。。。 。。。进行STRIDE-LM威胁分析时能够使用这种单一的评价方式，，，，，，，评价简洁执行容易，，，，，，，但由于评价尺度单一，，，，，，，对于有争议的威胁，，，，，，，若是出现各人对危险等级的评级定见不统一的情况，，，，，，，则跨部门多方沟通协商而定。。。。 。。。


表.3-5G网络威胁评价样例

8.png


6、威胁节造措施


基于前面5个阶段的工作了局，，，，，，，能够针对威胁评价列表中的多个威胁，，，，，，，执行分歧的安全节造措施，，，，，，，这些节造措施蕴含�；；； ；；ぃ�，，，，，还蕴含鉴别、认证、检测、防护和响应等多种机造。。。。 。。。


表.4-5G威胁，，，，，，，安全属性和节造措施

9.png


通过全面相识入侵面和威胁行为者，，，，，，，结合节造措施和威胁谍报来综合确定节造措施的有效性。。。。 。。。5G网络威胁节造措施的有效性可与威胁评价相结合使用，，，，，，，并进行持续地迭代与更新。。。。 。。。


利用5G威胁建模一方面能够作为工作抓手来推动跨部门和技术条线的5G业务合作，，，，，，，另一方面能够使安全专家越发深刻地理解业务和网络，，，，，，，并与安全相融合，，，，，，，从而成立5G网络入侵面整体视图，，，，，，，为全面风险治理指明方向和沉点。。。。 。。。威胁建模思想和步骤能够加深我们对于5G及其安全的理解，，，，，，，成为解决5G安全问题的“路”与“术”。。。。 。。。



|文章作者：毕亲波 赵呈东|