Tehditleri önceliklendirmek

Açılış

Müşteri hizmetleri dalı kapandıktan sonra, hediye listesinin tablosunda on üç kaygı kaldı. Yılbaşına üç hafta vardı ve ekibin elinde iki geliştiricinin bir haftalık zamanı vardı. Ürün sorumlusu tabloyu yine açtı: "Hepsini yapamayız. Hangi sırayla?"

Geliştiricilerden biri hemen bir öneri getirdi. Tablonun alt sıralarında, bir öğleden sonrada bitecek beş küçük iş vardı: paylaşım bağlantısının önizlemesinde liste sahibinin soyadının görünmemesi, bir hata mesajının fazla ayrıntı vermemesi gibi. "Önce bunları kapatalım," dedi. "Pazartesi beş kaygı eksik rapor ederiz, herkes mutlu olur."

Selin tereddüt etti. Beş küçük iş kapanırsa tablo daha iyi görünecekti. Ama listenin en üstündeki iki kaygı, liste sahibinin hesabının ele geçirilmesi ve yılbaşı haftasında sipariş sisteminin yavaşlaması, bir haftalık işti ve yerinde duracaktı. Sayı düşecek, risk aynı kalacaktı.

"Önce sıralayalım," dedi Selin. "Sonra neyi yapacağımıza karar verelim. Ucuz olanla önemli olanı aynı şey sanmayalım."

Tek fikir

Tehditler önce etki ve olasılıkla sıralanır; en ağır riskler, kolay olanlardan önce gelir. Düzeltme maliyeti sıralamayı değil, sıralama içindeki seçimi etkiler: ucuz bir düzeltme ağır bir riskin yerini almaz, ama ağırlıkları yakın iki risk arasında hangisinden başlanacağını söyleyebilir.

Nasıl çalışır

Modül 12'de olasılık ve etkiyi bir kurumun bütün riskleri için kullandık. Şimdi aynı iki ölçüyü tek bir sistemin tehdit listesine uyguluyoruz ve bir üçüncü ölçü ekliyoruz.

Uygulama güvenliği için en çok başvurulan puanlama yöntemlerinden biri, bu iki ölçünün nasıl tahmin edileceğini ayrıntısıyla anlatır.

Bu yöntemin iki ölçüsü, Modül 12'de tanımladığımız olasılık ve etkidir. Burada yeni olan, etkinin iki katmanıdır.

Bir veritabanından birkaç kayıt okunması teknik olarak küçük bir gizlilik kaybı gibi görünebilir. O kayıtlar hasta kayıtlarıysa, iş etkisi çok büyüktür. OWASP'ın yöntemi, iş etkisinin kurumu iyi tanıyan kişilerle konuşularak belirlenmesini önerir; güvenlik ekibi teknik etkiyi bilir, iş etkisini ise işi yapanlar bilir.

Üçüncü ölçü, sıralamada ne kadar yer alması gerektiği tartışmalı olandır.

İki OWASP belgesi bu noktada farklı vurgular yapar ve ikisi de haklıdır. Risk puanlama yöntemi, ucuz düzeltmelerin ağır risklerin önüne geçmemesi gerektiğini söyler. Tehdit modelleme belgesi ise düzeltme maliyetinin tamamen görmezden gelinemeyeceğini kabul eder. Bu derste izleyeceğimiz yol ikisini birleştirir: önce etki ve olasılıkla bir sıra kurulur; düzeltme maliyeti, aynı ağırlık grubundaki tehditler arasında hangisinden başlanacağına karar vermek için kullanılır. Bir yüksek risk, bir düşük riskten önce gelir, düşük risk ne kadar ucuz olursa olsun. İki yüksek risk arasında ise ucuz olanla başlamak mantıklıdır, çünkü riski daha çabuk düşürür.

Bir de kabul seçeneği vardır. Modül 12'de gördüğümüz gibi, bazı riskler bilerek kabul edilir; düşük olasılıklı, düşük etkili ve pahalı düzeltmeli bir tehdit, yazılı bir kabulle listede kalabilir.

Sahada

Savunma

Önceliklendirme, sınırlı savunma kaynağının nereye gideceğini belirleyen karardır. Yanlış sıra, çok iş yapılmış gibi görünüp riskin yerinde kaldığı bir savunma demektir.

Önce sıralamayı etki ve olasılıkla kur. OWASP'ın etkenleri, bir tahmini temellendirmeye yarar: kim bu zayıflığı kullanabilir, ne kadar kolay bulur, kullanılırsa fark edilir mi, sonuç ne kadar ağır olur? Düşük, orta ve yüksek ayrımı çoğu zaman yeter; kesin sayı, kesinlik yanılsaması yaratabilir.

Sonra ağır riskleri kolay işlerin önüne koy. Selin'in ekibi beş küçük işle tabloyu güzelleştirebilirdi; ama en üstteki iki risk yerinde kalacaktı. Kapatılan kaygı sayısı bir başarı ölçüsü değildir; düşürülen risk ölçüdür.

Sonra aynı ağırlıktaki riskler arasında düzeltme maliyetine bak. Kaan'ın haftalık kayıt gözden geçirmesi gibi ucuz ve geniş etkili önlemler, aynı grubun içinde öne alınır.

Etkiyi iki dilde yaz. Teknik etki ekibin, iş etkisi yönetimin dilidir; Bora'nın bütçesi ikinci dilde onaylandı. İş etkisini belirlerken işi yapanlarla konuş.

Tespit açısından da önceliklendirme işe yarar: OWASP'ın "fark edilir mi" etkeni, tespit önlemlerinin olasılığı doğrudan düşürdüğünü gösterir. Bir kaydı incelemek, bazen bir önlem kurmak kadar riski azaltır.

Son olarak sıralamayı yaz ve tarihle. Önceliklendirme bir kez yapılıp bırakılmaz; yeni bir kaygı, değişen bir tehdit ya da uygulanan bir önlem sırayı değiştirir.

Uygulama

Önceki derslerde topladığın kaygıları ve saldırı ağacını tek bir öncelik sırasına dizeceksin.

Bittiğinde listenin başındaki üç kaygıya bak: kolay oldukları için mi, yoksa ağır oldukları için mi oradalar?

Defter: Birleştirilmiş kaygı listesi; her kaygı için olasılık, teknik ve iş etkisi, düzeltme maliyeti ve grup. Sıralanmış öncelik listesi, kabul edilen kaygılar ve gerekçeleri, bu hafta yapılacak ilk iş ve tarihi.

Hata köşesi

Etik ve sınırlar

Önceliklendirme, kimin riskinin önce ele alınacağına dair bir karardır ve bu karar dürüst verilmelidir. Bir riski raporda daha küçük göstermek ya da kapatılan kaygı sayısını büyütmek için kolay işleri öne almak, kararı verecek yöneticiyi ve riski taşıyan kullanıcıları yanıltır. İş etkisini yazarken, kurumun parasının yanında, verileri işlenen kişilerin zararını da hesaba katmak gerekir; bir hastanın ya da müşterinin mahremiyeti, şirket bilançosunda görünmese de gerçek bir etkidir. Puanlama sırasında olasılığı tahmin etmek için gerçek sistemlerde sınama yapılacaksa, bu yalnız sistemin sahibinin yetkisi ve izni ile, önceden belirlenmiş bir kapsamda olur. Öncelik listesi de, en ağır ve henüz kapatılmamış riskleri en üste koyduğu için, yalnız o sistem üzerinde çalışanların görmesi gereken bir çalışma kâğıdıdır.

Kapanış

1. Tehditler önce olasılık ve etkiyle sıralanır; OWASP'ın etkenleri tahmini temellendirir, düşük, orta ve yüksek ayrımı çoğu zaman yeter.
2. Etkinin iki dili vardır: teknik etki ekibin, iş etkisi kararı verenlerin dilidir; iş etkisi işi yapanlarla konuşularak belirlenir.
3. Ağır riskler kolay işlerden önce gelir; düzeltme maliyeti yalnız aynı ağırlıktaki riskler arasında başlangıç noktasını seçer, düşük ve pahalı riskler yazılı gerekçeyle kabul edilebilir.

Üç soru

1. Geliştiricinin "önce beş küçük işi kapatalım" önerisinin sorunu neydi?
2. Kaan'ın haftalık kayıt incelemesi önerisi neden üç kaygının olasılığını birden düşürdü?
3. Bora'nın bütçe talebi neden onaylandı?

Yanıtlar

1. Beş küçük iş düşük olasılıklı ve düşük etkili kaygılardı; kapatılmaları tablodaki sayıyı düşürecek ama en üstteki iki yüksek riski yerinde bırakacaktı. OWASP'ın yöntemi daha önemsiz riskleri kolay oldukları için düzeltmenin genel risk profiline yardım etmediğini söyler.
2. OWASP'ın olasılık etkenlerinden biri bir kötüye kullanımın fark edilip edilmeyeceğidir; kaydedilip incelenen bir zayıflık, kaydedilip incelenmeyenden daha düşük olasılıkla puanlanır. Kayıtlar vardı ama kimse bakmıyordu; haftalık inceleme, kayıtlarla izlenen üç kaygının olasılığını birlikte düşürdü ve neredeyse hiçbir maliyeti yoktu.
3. Bora teknik etki yerine iş etkisini anlattı: yasal bildirim yükümlülüğü, hasta güveni ve kamuoyuna yansıma. Kararı veren başhekim yardımcısı bu dili konuşuyordu; aynı risk onun için anlamlı hâle geldi.

Sonraki derse köprü

Modüldeki her adımı tek tek denedik: dört soru, diyagram, sınırlar, STRIDE, ağaçlar ve sıralama. Bir uygulamanın tehdit modeli dersi bunları bir randevu uygulaması üzerinde baştan sona, tek bir çalışmada birleştiriyor.