Beispiel-TMA: HTTP- und SOAP-Adapter

In diesem Thema wird die Bedrohungsmodellanalyse (Threat Model Analysis, TMA) für das HTTP- und SOAP-Adapterszenario (Web Services) für die Beispielarchitektur erläutert. Die folgende Abbildung zeigt die Beispielarchitektur für das Szenario der HTTP- und SOAP-Adapter.

Abbildung 1 Beispielarchitektur für das Szenario mit HTTP/SOAP-Adaptern

Schritt 1. Sammeln von Hintergrundinformationen (HTTP- und SOAP-Adapterszenario)

Dieser Abschnitt enthält das Datenflussdiagramm (DFD) für das HTTP- und SOAP-Adapterszenario (Web Services) für die Beispielarchitektur.

Alle anderen Hintergrundinformationen sind für alle unsere Nutzungsszenarien identisch und werden zuvor unter "Hintergrundinformationen für Beispielszenarien" beschrieben.

Datenfluss Diagramm

Die folgende Abbildung zeigt das DFD für die Beispielarchitektur, wenn Sie die HTTP- und SOAP-Adapter (Webdienste) verwenden.

Abbildung 2 DFD für die Beispielarchitektur des HTTP/SOAP-Adapterszenarios

Der Datenfluss lautet wie folgt:

1. Ein Partner oder Kunde sendet eine Nachricht über HTTP, HTTPS oder einen Webdienst. Die Nachricht wird an die IP-Adresse von Firewall 1 weitergeleitet.

2. Firewall 1 leitet die Nachricht über Firewall 2 mithilfe des Reverseproxys weiter.

3. Firewall 2 leitet die Nachricht an den BizTalk Server weiter, der eine isolierte Host-Instanz für den HTTP- oder SOAP-Empfangsadapter betreibt. Der isolierte Host verarbeitet die Nachricht und fügt sie in die MessageBox-Datenbank ein.

4. Eine Instanz des Verarbeitungshosts, die über ein Abonnement für die Nachricht verfügt, übernimmt sie aus der MessageBox-Datenbank, führt jede zusätzliche Verarbeitung durch und fügt die Nachricht in die MessageBox-Datenbank zurück.

5. Eine Instanz des isolierten Hosts mit einem HTTP- oder SOAP-Sendeadapter übernimmt die Nachricht aus der MessageBox-Datenbank. Die Nachricht durchläuft alle endgültigen Verarbeitungen in der Sendepipeline und wird an den Partner oder Kunden zurückgesendet.

6. Wenn die Nachricht an den Partner oder Kunden gesendet wird, wird sie über Firewall 2 und firewall 1 mithilfe des Reverseproxys weitergeleitet.

Schritt 2. Erstellen und Analysieren des Bedrohungsmodells (HTTP- und SOAP-Adapterszenario)

Dieser Abschnitt enthält die Ergebnisse der TMA, die wir für das Http- und SOAP-Adapterszenario (Webdienste) für die Beispielarchitektur ausgeführt haben.

• Identifizieren von Einstiegspunkten, Vertrauensgrenzen und Datenfluss - Informationen zu Hintergrundinformationen finden Sie weiter oben in Schritt 1 und Hintergrundinformationen für Beispielszenarien.

• Erstellen einer Liste der identifizierten Bedrohungen - Wir haben die folgende Kategorisierung für alle Einträge im DFD verwendet, um potenzielle Bedrohungen für das Szenario zu identifizieren: Identitätsverschleierung, Manipulation von Daten, Abstreitbarkeit, Informationsfreigabe, Dienstverweigerung und Erhöhung von Berechtigungen. In der folgenden Tabelle sind die Bedrohungen aufgeführt, die wir identifiziert haben, wenn Sie die HTTP- und SOAP-Adapter zum Senden und Empfangen von Nachrichten an und von BizTalk Server verwenden.

  Tabelle 1 Liste der Bedrohungen

Bedrohung	BESCHREIBUNG	Vermögenswert	Auswirkung
Nachricht mit unendlicher Größe senden	Ein böswilliger Benutzer kann eine Nachricht mit unendlicher Größe senden.	BizTalk Server-Umgebung	Denial of Service
Senden einer Vielzahl von Nachrichten zum Empfangen des Standorts	Ein böswilliger Benutzer kann eine große Anzahl gültiger oder ungültiger Nachrichten senden und die Anwendung überfluten.	BizTalk Server-Umgebung	Denial of Service
Nachrichtentexte über HTTP lesen	Ein böswilliger Benutzer kann die Nachricht abfangen, während sie vom Absender zu Firewall 1 wechselt und die Nachricht lesen kann.	Nachrichtennutzlast	Veröffentlichung von Informationen
Lesen von Benutzeranmeldeinformationen aus einer Nachricht	Wenn Sie die Standardauthentifizierung verwenden und die Nachricht Benutzeranmeldeinformationen enthält, kann ein böswilliger Benutzer Zugriff auf die Anmeldeinformationen erhalten und sie für den Zugriff auf die Anwendung verwenden.	Benutzeranmeldeinformationen	Veröffentlichung von Informationen Rechteerweiterungen

Schritt 3. Überprüfen von Bedrohungen (HTTP- und SOAP-Adapterszenario)

Dieser Abschnitt enthält die Ergebnisse der Risikoanalyse, die wir für Bedrohungen ausgeführt haben, die wir für das Szenario der HTTP- und SOAP-Adapter (Webdienste) für die Beispielarchitektur identifiziert haben. Nach der Hauptbesprechung des Bedrohungsmodells haben wir die Bedrohungen überprüft und die folgenden Auswirkungskategorien verwendet, um das Risiko für jede Bedrohung zu identifizieren: DAmage potential, Reproducibility, Exploitability, Ainfizierte Benutzer und Discoverability.

In der folgenden Tabelle sind die Risikobewertungen für die Bedrohungen aufgeführt, die wir identifiziert haben, wenn Sie die HTTP- und SOAP-Adapter zum Senden und Empfangen von Nachrichten an und von BizTalk Server verwenden.

Tabelle 2 Risikobewertungen von Bedrohungen

Bedrohung	Auswirkung	Schadenspotenzial	Reproduzierbarkeit	Ausnutzbarkeit	Betroffene Benutzer	Auffindbarkeit	Risikoexposition
Nachricht mit unendlicher Größe senden	Denial of Service	2	3	2	3	2	2.4
Senden einer Vielzahl von Nachrichten zum Empfangen des Standorts	Denial of Service	3	3	1	3	3	2.6
Nachrichtentexte über HTTP lesen	Veröffentlichung von Informationen	3	3	2	3	3	2.8
Lesen von Benutzeranmeldeinformationen aus einer Nachricht	Veröffentlichung von Informationen Rechteerweiterungen	3	3	2	3	2	2.6

Schritt 4. Identifizieren von Entschärfungstechniken (HTTP- und SOAP-Adapterszenario)

Dieser Abschnitt enthält einige Gegenmaßnahmen für die Bedrohungen, die wir für das HTTP- und SOAP-Adapterszenario (Webdienste) für die Beispielarchitektur identifiziert haben.

In der folgenden Tabelle sind Die Entschärfungstechniken und -technologien für die Bedrohungen aufgeführt, die wir identifiziert haben, wenn Sie die HTTP- und SOAP-Adapter zum Senden und Empfangen von Nachrichten an und von BizTalk Server verwenden.

Tabelle 3 Gegenmaßnahmen und -technologien

Bedrohung	Auswirkung	Risikoexposition	Entschärfungstechniken und -technologien
Nachricht mit unendlicher Größe senden	Denial of Service	2,4	Beschränken Sie die maximale Größe einer eingehenden Nachricht pro URL, und lehnen Sie Nachrichten ab, die diesen Höchstwert überschreiten. Weitere Informationen finden Sie unter "Minderung von Denial of Service-Angriffen".
Senden einer Vielzahl von Nachrichten zum Empfangen des Standorts	Denial of Service	2.6	Der SOAP-Adapter nutzt HTTP zum Senden und Empfangen von Nachrichten an und von BizTalk Server. Daher müssen Sie die Sicherheitsempfehlungen befolgen, um internetinformationsdienste (Internet Information Services, IIS) zu schützen. Wenn Sie IIS verwenden, stellen Sie sicher, dass Sie den IIS-Empfehlungen zum Konfigurieren der Anwendungsisolation folgen. Weitere Informationen finden Sie in der Einführung in IIS-Architekturen. Verwenden Sie die Client-Authentifizierung und die Parteiauflösung, um die Anzahl der verarbeiteten Nachrichten auf nur gültige und autorisierte Nachrichten zu beschränken.
Nachrichtentexte über HTTP lesen	Veröffentlichung von Informationen	2.8	Es wird empfohlen, S/MIME zu verwenden, um den Inhalt von Nachrichten zu sichern, die an und von BizTalk Server gesendet werden. Es wird empfohlen, secure Sockets Layer (SSL) zu verwenden, um die Übertragung von Daten an und von BizTalk Server und zwischen BizTalk Server-Komponenten zu sichern, die über Ihre Umgebung verteilt sind.
Lesen von Benutzeranmeldeinformationen aus einer Nachricht	Veröffentlichung von Informationen Rechteerweiterungen	2.6	Wenn Sie die Standardauthentifizierung verwenden oder wenn Sie keine Verschlüsselung auf Nachrichtenebene verwenden, empfehlen wir, dass Sie SSL zum Empfangen und Senden von Nachrichten verwenden, um sicherzustellen, dass eine nicht autorisierte Person die Benutzeranmeldeinformationen nicht lesen kann.

Siehe auch

Analyse des Bedrohungsmodells
Beispielszenarien für die Analyse des Bedrohungsmodells
Beispielarchitekturen für kleine und Medium-Sized Unternehmen