如何使您更好地進(jìn)行應(yīng)用程序安全測(cè)試

了解如何創(chuàng)建攻擊樹圖。攻擊樹可幫助您提高應(yīng)用程序安全性、發(fā)現(xiàn)漏洞、評(píng)估防御成本等。

想象一下，一群小偷計(jì)劃在拉斯維加斯的一家賭場(chǎng)進(jìn)行一次重大搶劫，就像海洋十一人一樣。為了盡量減少當(dāng)場(chǎng)被抓的機(jī)會(huì)并最大限度地提高運(yùn)輸量，他們需要概述計(jì)劃的每一步。

海洋十一攻擊樹示例

他們的戰(zhàn)略地圖可能看起來像這樣。攻擊者的目標(biāo)——搶劫賭場(chǎng)——位于頂部，有幾個(gè)潛在的攻擊路徑通向它。

這是攻擊樹圖的一個(gè)示例，即從攻擊者的角度對(duì)攻擊進(jìn)行的方法、圖形表示。

像這樣的攻擊樹已被用于識(shí)別所有類型的復(fù)雜系統(tǒng)中的安全漏洞，例如監(jiān)督控制和數(shù)據(jù)采集（SCADA）網(wǎng)絡(luò)，生物識(shí)別系統(tǒng)和GSM無線接入網(wǎng)絡(luò)。

在應(yīng)用程序測(cè)試策略中，使用攻擊樹可以幫助您模擬各種攻擊場(chǎng)景，并就如何最好地保護(hù)應(yīng)用程序做出決策。您將能夠查明最容易受到攻擊的系統(tǒng)和控制，并更有效地構(gòu)建特定的對(duì)策。

如何創(chuàng)建攻擊樹圖

創(chuàng)建攻擊樹圖時(shí)，首先將自己置于潛在黑客的位置。你的首要目標(biāo)是什么？您是否正在嘗試訪問客戶數(shù)據(jù)？擾亂業(yè)務(wù)流程？將該目標(biāo)放在樹的頂部。這就是“根節(jié)點(diǎn)”。

在它下面，將最高級(jí)別的目標(biāo)分解為一系列分支或“葉節(jié)點(diǎn)”，表示增量的、更易于管理的目標(biāo)以及實(shí)現(xiàn)這些目標(biāo)所需的步驟。集思廣益，想出實(shí)現(xiàn)目標(biāo)的方法，并將它們添加到你的樹上。

使用“或”節(jié)點(diǎn)來表示實(shí)現(xiàn)目標(biāo)的不同方式。在賭場(chǎng)搶劫案的例子中，您可以通過在槍口下突襲登記冊(cè)或使用內(nèi)部人員竊取現(xiàn)金和籌碼來搶劫賭場(chǎng)。

“和”節(jié)點(diǎn)是實(shí)現(xiàn)每個(gè)子目標(biāo)所需的步驟。在我們的海洋十一人場(chǎng)景中，竊賊精心策劃的計(jì)劃包括一系列步驟，所有這些步驟對(duì)于實(shí)現(xiàn)他們的總體目標(biāo)都至關(guān)重要：用炸藥破壞金庫(kù)，破壞隱藏金庫(kù)漏洞的力量，以及訪問金庫(kù)安全代碼。

繪制每個(gè)攻擊途徑后，確定發(fā)生這些攻擊的可能性。每條攻擊線都需要一定的資源，例如金錢、時(shí)間或技能。要評(píng)估要求，請(qǐng)為每個(gè)節(jié)點(diǎn)分配值，例如是否可行、成本如何以及是否需要特殊技能或設(shè)備。

你能從攻擊樹中學(xué)到什么？

創(chuàng)建樹并為每個(gè)節(jié)點(diǎn)分配值后，您可以更好地準(zhǔn)備做出主動(dòng)的安全決策。以下是四種方法，您可以使用攻擊樹作為應(yīng)用程序安全測(cè)試的一部分來識(shí)別、修復(fù)和防止安全漏洞。

發(fā)現(xiàn)計(jì)算機(jī)網(wǎng)絡(luò)和應(yīng)用程序設(shè)計(jì)中的多步驟攻擊漏洞。 大多數(shù)組織使用多層安全性來保護(hù)其計(jì)算機(jī)網(wǎng)絡(luò)，這要求攻擊者完成一系列步驟才能實(shí)現(xiàn)其目標(biāo)。攻擊樹在單獨(dú)繪制每個(gè)步驟時(shí)非常寶貴。它們可以幫助您識(shí)別攻擊路徑，從而考慮需要哪些安全控制。

表示沿樹的每條路徑的成本。 攻擊樹形圖可以幫助您計(jì)算定量和定性指標(biāo)，幫助您確定防御措施的優(yōu)先級(jí)。例如：

對(duì)手的觀點(diǎn)

發(fā)起攻擊的成本是多少？

設(shè)置和完成攻擊需要多長(zhǎng)時(shí)間？

哪些攻擊不需要特殊技能和工具，因此更有可能發(fā)生？

攻擊的回報(bào)是多少？對(duì)手從攻擊中獲得什么？他們是在尋仇嗎？他們是否能夠訪問和重用您寶貴的 IP 或敏感的客戶數(shù)據(jù)？他們可以通過破壞您的電子商務(wù)業(yè)務(wù)邏輯來進(jìn)行購(gòu)買嗎？

后衛(wèi)的觀點(diǎn)

攻擊影響：攻擊是否會(huì)影響您的業(yè)務(wù)連續(xù)性或與客戶的關(guān)系？

安全成本：如果系統(tǒng)遭到破壞，您是否無法通過外部安全審計(jì)或需要支付罰款？

檢測(cè)：檢測(cè)到攻擊的概率是多少？

Mincut：保護(hù)一組關(guān)鍵資產(chǎn)的成本最低的對(duì)策是什么？

提高測(cè)試策略的有效性。 滲透測(cè)試從各種來源收集和綜合信息，以搜索安全漏洞。但是，它們并不全面，尤其是在自動(dòng)化時(shí)。它們可能無法檢測(cè)到新出現(xiàn)的威脅，并且可以將正?；蝾A(yù)期行為識(shí)別為異常或惡意，從而留下一長(zhǎng)串誤報(bào)。Synopsys 的應(yīng)用測(cè)試服務(wù)包括一種手動(dòng)方法，該方法結(jié)合了攻擊樹的戰(zhàn)略使用，以提高準(zhǔn)確性并節(jié)省您的時(shí)間和精力。

評(píng)估潛在防御的成本和有效性。 您可以通過創(chuàng)建防御樹（也稱為攻擊對(duì)策樹）來扭轉(zhuǎn)攻擊樹的視角。這些節(jié)點(diǎn)包括表示旨在消除或減少攻擊可能性的對(duì)策的節(jié)點(diǎn)。您可以使用這些樹在優(yōu)化的低成本防御措施選項(xiàng)之間進(jìn)行選擇。

底線

面對(duì)日益復(fù)雜的應(yīng)用程序和潛在黑客的日益成熟，您需要一種既強(qiáng)大又易于構(gòu)建的方法來預(yù)測(cè)和解決潛在風(fēng)險(xiǎn)。

攻擊樹圖可幫助您將潛在攻擊分解為多個(gè)步驟，查明漏洞并確定對(duì)策。將它們合并到全面的應(yīng)用程序安全測(cè)試計(jì)劃中，以便您可以主動(dòng)分配資源和預(yù)算。

審核編輯：郭婷