A Methodology for Systematically Including Semantic Information in Threat Modeling and Analysis

Da Daten zunehmend digitalisiert werden und Systeme immer stärker in das Leben der Menschen eingebunden sind, können die Folgen von Datenlecks, Datendiebstahl oder anderweitig kompromittierten Daten katastrophal sein. Um diese Risiken zu mindern können „Security by Design“ und „Privacy by Design“ in Verbindung mit „Threat Modeling“ Ansätzen und Taxonomien eingesetzt werden. Viele system-zentrierte Threat Modeling Ansätze verwenden Datenflussdiagramme (DFDs), um ein System zu modellieren. Dieses Modell kann dann in Kombination mit den zuvor erwähnten Taxonomien verwendet werden, um das System auf Schwachstellen zu analysieren, noch bevor es überhaupt implementiert wurde. ... mehrAllerdings erfordern jedoch viele Threat Modeling Ansätze nach wie vor erheblichen Aufwand und Fachwissen und berücksichtigen nicht den Fluss von Daten durch das System. Wir präsentieren einen Ansatz, der diese Probleme lösen soll, indem er auf dem erweiterbaren, architektur-basierten Datenflussanalyseramework xDECAF aufbaut. Dazu haben wir dessen Web-Editor erweitert, damit Softwarearchitekten auf einfache und gezielte Weise semantische Informationen in Form von Labels in DFDs einbinden können. Diese DFDs können dann anhand vordefinierter „Constraints“ überprüft werden. Obwohl unser Ansatz taxonomie-unabhängig konzipiert ist, definieren wir eine erste Sammlung von Constraints, indem wir die ausgereifte Taxonomie LINDDUN übersetzen, die Bedrohungen für die Privatsphäre von Nutzern digitaler Systeme definiert. Um unseren Ansatz zu bewerten, haben wir eine Nutzerstudie durchgeführt, die auf Vergleichbarkeit mit einer Basisstudie ausgelegt war, in der LINDDUN evaluiert wurde. Die Aussagekraft der Bewertung ist jedoch aufgrund des kleinen Datensatzes und der grundlegenden Unterschiede zwischen den beiden Ansätzen begrenzt. Während die Ergebnisse darauf hindeuten, dass der Ansatz den Zeitaufwand für die Analyse deutlich verringern kann, scheint die Übersetzung die meisten Bedrohungen nicht zu identifizieren. Zudem konnten wir aufgrund der Art unseres Ansatzes nur etwa die Hälfte aller LINDDUN Bedrohungen, bzw. 70% aller Bedrohungen die Blätter sind, übersetzen.

As data becomes increasingly digital and systems become more and more involved in people’s lives, the impact of leaked, stolen or otherwise compromised data can be disastrous. To mitigate these risks, security and privacy by design can be implemented alongside threat modeling approaches and taxonomies. Many system-centric threat modeling approaches use Data Flow Diagrams (DFDs) to model a system’s architecture. This model can then be used in combination with the previously mentioned taxonomies to analyze the system for vulnerabilities, before the system is even built. However, many threat modeling approaches still require considerable effort and expertise, and do not consider the flow of the data throughout the system. ... mehrOur approach addresses these issues by building on the extensible architecture-based data flow analysis framework xDECAF. We have extended its web editor to enable software architects to easily include semantic information in the form of labels in Data FlowDiagrams (DFDs). These DFDs can then be checked against predefined constraints. Although our approach is designed to be taxonomy-independent, we define an initial set of constraints by translating the mature privacy threat taxonomy LINDDUN. To evaluate our approach, we performed a user study designed for comparability to a baseline study that evaluated LINDDUN. However, the evaluation’s validity is limited due to the small dataset and the fundamental differences between the two approaches. While the results suggest that the approach can significantly decrease the time required for analysis, the translation seems to fail to identify most threats. Additionally, we were only able to translate about half of all LINDDUN threats and 70% of all leaf threats, due to the nature of our approach.