إصدار أداة نمذجة التهديدات من Microsoft
تعد أداة نمذجة التهديدات عنصراً أساسياً في دورة تطوير الأمان من Microsoft (SDL). يسمح لمهندسي البرامج بتحديد وتخفيف مشكلات الأمان المحتملة في وقت مبكر، عندما يكون حلها سهلًا نسبيًا وفعال من ناحية التكلفة. نتيجة لذلك، فهي تقلل بشكل كبير من التكلفة الإجمالية للتطوير. كذلك، صممنا الأداة مع مراعاة الخبراء غير الأمنيين، ما يجعل نمذجة التهديدات أسهل لجميع المطورين من خلال توفير إرشادات واضحة بشأن إنشاء نماذج التهديد وتحليلها.
زيارة Threat Modeling Tool للبدء اليوم!
تساعدك أداة نمذجة التهديد في الإجابة عن أسئلة معينة، مثل الأسئلة الواردة أدناه:
- كيف يمكن المتطفل تغيير بيانات المصادقة؟
- ما هو التأثير إذا كان بإمكان المتطفل قراءة بيانات ملف تعريف المستخدم؟
- ماذا يحدث إذا رفض الوصول إلى قاعدة بيانات ملف تعريف المستخدم؟
النموذج الخاص بتصنيف المخاطر
لمساعدتك بشكل أفضل في صياغة هذه الأنواع من الأسئلة المدببة، تستخدم Microsoft نموذج تصنيف المخاطر، الذي يصنف أنواعًا مختلفة من التهديدات ويبسط محادثات الأمان الشاملة.
| الفئة | الوصف |
|---|---|
| تزييف الهوية | يتضمن الوصول بشكل غير قانوني ثم استخدام معلومات مصادقة مستخدم آخر، مثل اسم المستخدم وكلمة المرور |
| العبث بالبيانات | يتضمن التعديل الضار للبيانات. تشمل الأمثلة التغييرات غير المصرح بها التي أجريت على البيانات الدائمة، مثل تلك الموجودة في قاعدة البيانات، وتغيير البيانات أثناء تدفقها بين جهازي كمبيوتر عبر شبكة مفتوحة، مثل الإنترنت |
| القدرة على الإنكار | يرتبط بالمستخدمين الذين يرفضون تنفيذ إجراء ما دون أن يكون لدى الأطراف الأخرى أي طريقة لإثبات خلاف ذلك—على سبيل المثال، يقوم المستخدم بعملية غير قانونية في نظام يفتقر إلى القدرة على تتبع العمليات المحظورة. يشير عدم المقدرة على الإنكار إلى قدرة أي نظام على مواجهة تهديدات الإنكار. على سبيل المثال، قد يتعين على مستخدم الذي يشتري عنصراً التوقيع على استلام العنصر عند الاستلام. يمكن للمورد بعد ذلك استخدام الإيصال الموقع كدليل على أن المستخدم تلقى الحزمة |
| كشف المعلومات | ينطوي على كشف المعلومات للأفراد الذين ليس من المفترض أن يكون لديهم إمكانية الوصول إليها—على سبيل المثال، قدرة المستخدمين على قراءة ملف لم يتم منحهم حق الوصول إليه، أو قدرة متطفل على قراءة البيانات أثناء النقل بين جهازي كمبيوتر |
| رفض الخدمة | تمنع هجمات رفض الخدمة (DoS) الخدمة للمستخدمين الصالحين—على سبيل المثال، بجعل خادم الويب غير متاح مؤقتًا أو غير قابل للاستخدام. يجب عليك الحماية من أنواع معينة من تهديدات DoS ببساطة لتحسين توفر النظام وموثوقيته |
| رفع الامتيازات | يحصل مستخدم غير مميز على وصول متميز وبالتالي لديه حق وصول كاف للاختراق أو تدمير النظام بأكمله. تشمل تهديدات رفع الامتيازات تلك الحالات التي قام فيها مهاجم باختراق جميع دفاعات النظام بشكل فعال وأصبح جزءاً من النظام الموثوق به نفسه، وهو وضع خطير بالفعل |
الخطوات التالية
تابع إلى Threat Modeling Tool Mitigations لمعرفة الطرق المختلفة التي يمكنك من خلالها التخفيف من هذه التهديدات باستخدام Azure.