Saldırı ağaçları

Açılış

Hediye listesinin on dört maddelik tablosu ürün sorumlusunun önüne geldiğinde, ürün sorumlusu sayfayı aşağı kaydırdı ve bir soru sordu: "Bunların hangisi gerçek tehlike? Hepsine aynı anda yetişemeyiz."

Selin tabloya baktı. Her satır doğruydu ama satırlar birbirinden habersizdi. Bir satırda "bağlantı tahmin edilebilir olmamalı" yazıyordu, ötekinde "liste sahibinin hesabı korunmalı". İkisi de aynı kötü sonuca, bir yabancının liste sahibinin ev adresini öğrenmesine çıkıyordu. Ama tablo, o sonuca giden yolların hangisinin daha kolay olduğunu söylemiyordu.

Selin tahtanın en üstüne tek bir cümle yazdı: "Bir yabancı, liste sahibinin ev adresini öğrenir." Altına, bu sonuca giden bütün yolları dallar hâlinde çizmeye başladı. Bağlantıyı bulmak bir daldı. Hesabı ele geçirmek bir daldı. Üçüncü dalı yazarken durdu: müşteri hizmetlerini arayıp "arkadaşıma hediye gönderecektim, adresini teyit eder misiniz?" demek.

O dalın altında hiçbir teknik engel yoktu. Ekip bağlantıyı uzun ve tahmin edilemez yapmış, hesabı ikinci adımla korumuştu. En ucuz yol, kimsenin çizmediği yoldu.

Tek fikir

Saldırı ağacı, tek bir kötü sonucu köke koyup ona ulaşmanın bütün yollarını dallar hâlinde çizer. Dallara maliyet ya da zorluk yazılıp yukarı taşındığında, ağaç bir saldırganın en ucuz yolunu gösterir; savunma önce o dalı pahalılaştırır.

Nasıl çalışır

STRIDE taraması öğeden yola çıktı ve kutu kutu ilerledi. Saldırı ağacı ters yönden başlar: önce korkulan sonucu seçer, sonra ona giden yolları arar.

Yöntemi geniş bir okur kitlesine tanıtan metin, yirmi beş yılı aşkın süre önce yayımlanmış kısa bir dergi yazısıdır.

Bu iki düğüm türü, ağacın bütün mantığını taşır.

Bu iki kuralın savunma için sonucu basittir. Bir VEYA düğümünde, saldırgan en ucuz dalı seçer; öteki dalları ne kadar güçlendirirsen güçlendir, en ucuz dal açık kaldıkça hedefin maliyeti değişmez. Bir VE düğümünde ise tek bir adımı pahalılaştırmak bütün yolu pahalılaştırır. Bu yüzden ikinci adım doğrulama işe yarar: bir hesabı ele geçirmek parolayı öğrenmek VE ikinci adımı geçmek olunca, ikinci adımın maliyeti bütün dalın maliyetine eklenir.

Schneier'in yazısının en çok alıntılanan sonucu da bu mantıktan çıkar.

Değerler tek tip olmak zorunda da değildir. Schneier bir yaprağa aynı anda birden çok değer yazılabileceğini, sonra bunların birleştirilerek ağaca sorular sorulabileceğini anlatır: özel donanım gerektirmeyen en ucuz yol hangisi, yasal sınırlar içinde kalan en olası yol hangisi? Her soru, ağaçtan sistem hakkında yeni bir şey öğretir. Küçük bir ekip için en kullanışlı soru çoğu zaman şudur: hiçbir özel beceri istemeyen en kısa dal hangisi?

Selin'in hediye listesi tam bu durumdaydı. Ekip, bağlantının tahmin edilememesi ve hesabın korunması gibi güçlü önlemler almıştı. Ağaç, bu önlemlerin etrafından dolaşan, hiçbir teknik engelle karşılaşmayan bir dalı ortaya çıkardı.

Ağaçların bir sınırı da vardır: yalnız düşündüğün dalları gösterir. Schneier kasa örneğinin bile eksik olduğunu, okurun başka saldırılar düşünebileceğini açıkça yazar. Bu yüzden ağaç, tek bir kişi tarafından değil, sistemi farklı yerlerden tanıyan insanlarla birlikte kurulur; Selin'in müşteri hizmetleri dalı, ekipten birinin geçen yıl yaşanan bir şikâyeti hatırlamasıyla tamamlandı.

Sahada

Savunma

Saldırı ağacı, savunmanın sırasını belirleyen bir araçtır. Tehdit listesindeki maddeler aynı hedefe bağlanınca, hangi önlemin gerçekten fark yaratacağı görünür.

Önce en ucuz dalı bul ve pahalılaştır. Bir VEYA düğümünde, en ucuz dal açıkken öteki dallara harcanan para hedefin maliyetini değiştirmez. Selin'in ekibi bağlantıyı ve hesabı güçlendirmişti; müşteri hizmetleri dalı açıkken bu çaba kökü korumuyordu.

Sonra VE düğümlerini ara. Bir yolun gerektirdiği adımlardan birini zorlaştırmak bütün yolu zorlaştırır. Kaan'ın ağacındaki değişiklik kaydı ve hesaplardaki ikinci doğrulama adımı, VE düğümlerinin üzerine konmuş önlemlerdir.

Üçüncüsü, saldırganı ağaca kat. Schneier'in dediği gibi, saldırganın becerisi, erişimi ve neyi göze aldığı, ağacın hangi kısmının önemli olduğunu belirler. Bora'nın ağacında içerideki meraklı kullanıcı, dışarıdaki suç grubundan daha ucuz bir dala sahipti.

Dördüncüsü, "ya şunu yapsaydık" sorusunu sor. Bir önlem eklenince yaprağın maliyeti değişir ve bu değişiklik köke kadar taşınır. Ağaç, bir önlemin köke ne kadar etki edeceğini, önlemi kurmadan önce tahmin etmeyi sağlar.

Tespit tarafında ağaç, izlemenin nereye konacağını söyler: en ucuz dalların yaprakları, kayıtların ve uyarıların en çok işe yarayacağı yerlerdir. Bora'nın görev dışı erişim uyarısı tam böyle bir yaprağın üzerindedir.

Uygulama

Kendi sistemin için tek bir kökten bir saldırı ağacı kuracak ve en ucuz dalı bulacaksın.

Ağaç bittiğinde, ilk önleminin STRIDE tablosundaki hangi kaygıya karşılık geldiğini not et. Ağaç, tablodaki satırların sırasını değiştirmiş olabilir.

Defter: Kök hedef, VEYA ve VE düğümleriyle saldırı ağacı, yaprak değerleri ve köke taşınan sonuç. En kolay dal, seçilen önlem, önlemden sonra kökün yeni değeri ve sıradaki açık dal.

Hata köşesi

Etik ve sınırlar

Saldırı ağacı, bir hedefe giden yolları kâğıda dökmektir; bu yüzden ancak korumakla görevli olduğun, sahibinin seni yetkilendirdiği ya da izin verdiği sistemler için kurulur ve dallar bir yol tarifi değil, kapatılacak kapıların listesi olarak yazılır. Kâğıttaki bir dalı gerçek bir sistemde denemek, o sistemin sahibinin yazılı onayı ve belirlenmiş bir kapsam olmadan yapılamaz. Ağacın kendisi de, en ucuz dalı işaretlediği için, ekip dışına çıkmaması gereken bir belgedir. İç kullanıcı dalları ayrıca özen ister: Bora'nın ağacı çalışanlardan şüphe etmek için değil, onları ve hastaları koruyan bir düzen kurmak için çizildi; görev dışı erişim uyarıları da bir suçlama değil, bir soru başlatır ve bunu yaparken çalışanın haklarını ve kişisel verilerini gözetir.

Kapanış

1. Saldırı ağacı korkulan sonucu köke koyar, ona giden yolları VEYA dalları, bir yolun birlikte gereken adımlarını VE düğümleri olarak çizer.
2. Değerler yukarı taşınır: VEYA düğümü en ucuz çocuğunun, VE düğümü çocuklarının toplamının değerini alır; kök, saldırganın en ucuz yolunu gösterir.
3. Savunma önce en ucuz dalı pahalılaştırır, VE düğümlerine önlem koyar ve saldırgan profilini ağaca katar; güçlü bir önlemin etrafındaki ucuz dal, gerçek risktir.

Üç soru

1. Selin'in ekibi bağlantıyı ve hesabı güçlendirmişti; ağaç buna rağmen neden yeni bir öncelik gösterdi?
2. Kaan'ın ağacında değişiklik kaydı neden bütün bir dalı kapattı?
3. Bora'nın ağacında saldırgan profili sonucu nasıl değiştirdi?

Yanıtlar

1. Kök bir VEYA düğümüydü ve değeri en ucuz dalın değeriydi. Müşteri hizmetlerini arayıp adres teyidi istemek hiçbir teknik engelle karşılaşmıyordu; bu dal açıkken öteki dallardaki güçlü önlemler kökün maliyetini değiştirmiyordu. Önlem önce o dala kondu.
2. Sezonluk çalışanın dalı bir VE düğümüydü: sayımı girmek VE değişiklik kaydında görünmemek. Kayıt ikinci adımı neredeyse imkânsız kıldığı için, VE düğümünün maliyeti bütün dalı pahalılaştırdı.
3. Bora her dalın yanına onu kimin seçebileceğini yazdı. Dışarıdaki suç grubunun yolu uzun ve pahalıydı; içerideki meraklı bir kullanıcının yolu ise kendi hesabıyla görev dışı bir kaydı açmaktı ve çok daha olasıydı. Öncelik, kayıt erişimlerinin gözden geçirilmesine ve görev dışı erişim uyarısına verildi.

Sonraki derse köprü

Ağaç bir hedef için en ucuz yolu gösterdi; ama elimizde birçok hedef ve onlarca kaygı var. Tehditleri önceliklendirmek dersi bunları tek bir sıraya diziyor: etkiyi, olasılığı ve bir de düzeltmenin maliyetini hesaba katarak.