脅威モデリング：コントロール仕様
脅威モデリングのための資産、脅威、信頼境界、必要なコントロール、安全なデフォルト、および実装ガイダンスを定義します。採用の境界と観察可能な障害証拠を固定しつつ、環境固有の制限は設定可能なままにします。
パッケージステータス: 人間によるレビュー準備が整ったリファレンスコンテキストです。契約およびテストシナリオは完了していますが、採用された実装がこれらを通過したという主張はしていません。
決定
脅威モデリングでは、保護された境界で脅威モデルとサーバー強制のコントロールを採用します。信頼されたサーバー側でコントロールを強制し、デフォルトは拒否とし、脅威の仮定、悪用の制限、証拠、および回復を定義します。このパッケージはリファレンス契約であり、採用チームは自環境の証拠から数値制限、プロバイダー、管轄、運用責任者を選択しなければなりません。
範囲
- このセキュリティブロックで説明される脅威モデリングのアクター、入力、出力、状態、ポリシーまたはスキーマバージョン、および外部に見える結果。
- プライマリおよび代替インターフェース、バックグラウンド作業、キャッシュ、統合、サポート経路、および同じ境界を行使できる証拠。
- リファレンスを安全に適用するために必要な採用固有の設定、展開、回復、および検証責任。
このブロックの外側
- すべての採用者に対して普遍的なベンダー、フレームワーク、管轄、数値閾値、保持期間、またはサービスレベル目標を選択すること。
- パッケージ化されたシナリオが下流の実装で実行されたと主張すること、またはこのリファレンスが法的、セキュリティ、アクセシビリティの認証を付与すること。
契約
- コントロールを選択する前に、資産、アクター、信頼境界、攻撃者の能力、悪用ケース、仮定、および残留リスクを特定すること。
- 身元、ポリシー、完全性、新鮮さ、またはリソース範囲が確立できない場合、保護された操作はフェイルクローズとすること。
- クライアント提供の身元だけを信用せず、アクター、資格情報、テナント、リソース、およびインフラ容量ごとに作業と試行を制限すること。
- 秘密情報や機密ペイロードをログから除外しつつ、コントロールバージョン、相関、決定、および安全な理由を証拠として保持すること。
- すべてのクライアント、コールバック、ファイル、モデル、およびテレメトリフィールドを、認証および意図されたアクションの検証が完了するまで信頼しないこと。
- 1つのパーサー、資格情報、またはプロバイダーの侵害が決定的となる高影響パスには、2つ目の独立した安全装置を要求すること。
- 具体的なシステムバージョンおよび展開コンテキストに対して、資産、アクター、エントリポイント、データフロー、信頼境界、権限、依存関係、悪用目標、および仮定をインベントリ化すること。
- 信頼できる影響と発生可能性で脅威をランク付けし、緩和策を所有者および検証証拠にマッピングし、受け入れた残留リスクを記録し、境界、データ、依存関係、または敵対者が変わった場合にモデルを再検討すること。
実装ガイダンス
- 実装レビュー前に、通常、リプレイ、列挙、クロステナント、自動化、および依存関係劣化のパスを脅威モデリングすること。
- フレームワークやベンダーの詳細を選択する前に、脅威モデリングの入力、出力、アクター、状態、不変条件、副作用、および証拠をモデル化すること。
- 適用される脅威モデリング契約またはポリシーバージョンを重要な状態とともに保存し、マイグレーション、リプレイ、およびサポートの決定が帰属可能なままにすること。
- 制御された展開の背後にあるパスを導入し、期待される結果と観察された結果を比較し、採用証拠が完了するまでテスト済みの回復ルートを保持すること。
障害処理と安全装置
- コントロールの劣化は保護された境界を維持し、所有されたインシデント信号を発し、可用性維持のためだけにアクセスを許可しないこと。
- 無効または矛盾した脅威モデリング状態は拒否または隔離され、実装は権限を広げたり効果を重複させたりする値を推測しないこと。
- リトライは制限され耐久的な身元を使用し、使い果たした後は検査可能な終端状態に達し、責任ある所有者が存在すること。
検証と運用
- すべての信頼境界で許可と拒否のペアケースを使用し、コントロール依存の喪失がフェイルクローズすることを確認すること。
- 脅威モデリングの成功、拒否、検証失敗、依存失敗、リトライ使い果たし、および回復を契約バージョンごとに監視し、機密ペイロードの次元は含めないこと。
- ポリシー、スキーマ、依存関係、マイグレーション、または境界の変更後に許可・拒否のペアフィクスチャを再実行し、結果の証拠を保持すること。
採用の仮定
- 例の名前と値は具体的なフィクスチャであり、普遍的なデフォルトではありません。採用者は文書化された証拠と所有権を通じてこれらを置き換えます。
- 採用システムは認証済みの身元、耐久的な操作または記録バージョン、制限されたテレメトリ、および変更のための制御されたパスを提供できること。
このパッケージの実行可能に見える例はフィクスチャおよび受け入れ契約です。構造とメタデータを検証するためにコレクションバリデーターを実行し、ターゲットリポジトリでシナリオを翻訳および実行してから実装証拠を記録してください。