← İçindekiler STRIDE ve PASTA
STRIDE ve PASTA, tehdit modellemenin iki ana çerçevesidir. STRIDE model odaklıdır; “neyi koruyorum ve ne yanlış gidebilir?” sorusuna cevap arar. PASTA risk odaklıdır; “saldırgan nasıl saldırır ve işimi nasıl etkiler?” sorusuna. İkisini birlikte kullanmak en kapsamlı sonucu verir.
Özlü kural: STRIDE ile tehditleri bul, PASTA ile önceliklendir ve savun.
45.1 STRIDE
STRIDE, her harfi bir tehdit kategorisini temsil eder. Temelinde CIA üçlüsü (Gizlilik, Bütünlük, Erişilebilirlik) vardır. OWASP gibi güvenlik standartları STRIDE’ı referans gösterir.
| Harf | Kategori | Neyi İhlal Eder |
|---|---|---|
| S | Spoofing (Kimlik Sahtekarlığı) | Kimlik doğrulama |
| T | Tampering (Veri Bozma) | Bütünlük |
| R | Repudiation (İnkar) | Reddedilemezlik |
| I | Information Disclosure (Bilgi Sızdırma) | Gizlilik |
| D | Denial of Service (Hizmet Engelleme) | Erişilebilirlik |
| E | Elevation of Privilege (Yetki Yükseltme) | Yetkilendirme |
Spoofing: Bir saldırganın meşru bir kullanıcının kimliğine bürünmesi. Sahte e-posta gönderme, sahte web sitesi kurma.
Tampering: Verinin yetkisiz bir kişi tarafından değiştirilmesi. API manipülasyonu, veritabanına müdahale.
Repudiation: Eylemin izlerinin temizlenmesi, sonradan inkar edilebilmesi. Log kayıtlarının silinmesi, shared account kullanımı.
Information Disclosure: Bilginin yetkisiz kişilere sızdırılması. API yanıtında fazla veri dönme, loglarda şifresiz kart bilgisi.
Denial of Service: Bir kaynağın tükenmesi sonucu hizmete erişilememesi. DDoS saldırıları, kaynak tüketimi.
Elevation of Privilege: Sıradan bir kullanıcının daha yüksek yetkiler elde etmesi. Yönetici hesabını ele geçirme, SUID suistimali.
45.2 PASTA
PASTA (Process for Attack Simulation and Threat Analysis), risk odaklı yedi adımlı bir çerçevedir. İş hedefleriyle güvenlik arasında köprü kurar.
- Hedeflerin tanımlanması: İş hedefleri ve uyumluluk gereksinimleri belirlenir.
- Teknik kapsamın tanımlanması: Yazılım, donanım ve bağımlılıklar haritalanır.
- Ayrıştırma ve analiz: Kullanım senaryoları, aktörler, veri akışları ve güven sınırları belirlenir.
- Tehdit analizi: Tehdit istihbaratına dayanarak duyarlı noktalar tespit edilir.
- Zafiyet analizi: Tehditler güvenlik açıklarıyla eşleştirilir ve puanlanır.
- Saldırı modelleme: Tehdit ve saldırı ağaçları oluşturulur, savunma mekanizmaları tasarlanır.
- Risk ve etki analizi: Tüm veriler toplanır, varlıkların ve işin ne ölçüde etkileneceği hesaplanır.
45.3 Tehdit Ağacı ve Saldırı Ağacı
Bu iki kavram sık karıştırılır. PASTA’nın altıncı adımında birlikte kullanılırlar.
Tehdit Ağacı (Threat Tree): “Ne olabilir?” sorusuna odaklanır. Stratejik düzeyde risk tanımlama için kullanılır. Yöneticiler tehdit ağacıyla riskleri önceliklendirir.
Saldırı Ağacı (Attack Tree): “Nasıl yapılır?” sorusuna odaklanır. Saldırganın hedefine ulaşmak için izleyeceği somut teknik adımları detaylandırır. Teknik ekipler saldırı ağacıyla zafiyetleri kapatır.
Tehdit ağacı ile saldırı ağacı farklı şeylerdir. Tehdit ağacı stratejik çerçevedir; saldırı ağacı taktiksel savunma planıdır. Güçlü bir güvenlik analizi için ikisi birden gerekir.
Spoofing: Sahte banka web siteleriyle müşteri hesap bilgileri çalınıyor.
Tampering: API manipülasyonuyla transfer miktarları değiştiriliyor.
Repudiation: Ortak hesap kullanımıyla işlemler sonradan inkar edilebiliyor; “ben yapmadım” savunması güçleniyor.
Info Disclosure: Geliştiriciye e-posta ile hesap numaraları ve bakiyeler gönderiliyor.
Denial of Service: Bayram kampanyasında anlık trafik artışı sistemi çökertiyor; müşteriler işlem yapamıyor.
Elevation of Privilege: Oltalama ile başlayan saldırı, domain admin haklarına ulaşıyor.
Adım 1-2: İş hedefi = kesintisiz müşteri deneyimi. Kapsam = mobil bankacılık uygulaması + API + veritabanı.
Adım 3-4: Müşteri girişi sırasında kimlik doğrulama zayıf; oltalama ve brute-force tehditleri tespit edildi.
Adım 5-7: MFA eksikliği bir zafiyet olarak puanlandı. Risk = yüksek (mali kayıp + itibar). Çözüm = MFA zorunlu hale getirildi, anormal giriş denemelerinde hesap kilitlenmesi eklendi.
- STRIDE ile tehditleri kategorize et, sonra PASTA ile derinleş
- Tehdit ağacı ve saldırı ağacını birlikte kullan
- Her STRIDE kategorisini senin sistemine uyarla
- STRIDE ve PASTA'yı rakip olarak gör, sadece birini seç
- Tehdit ağacını saldırı ağacıyla karıştır
Bilgi Kontrolü
S9. Tehdit Ağacı hangi metodolojide bulunur?
a. SDL
b. DREAD
c. STRIDE
d. PASTA ✓
S10. CIA Triad (Confidentiality, Integrity & Availability / Gizlilik, Bütünlük & Erişilebilirlik) temelli model hangisidir?
a. SDL
b. DREAD
c. STRIDE ✓
d. PASTA
S11. Uygulamadaki veya altyapıdaki tehditleri saldırgan bakış açısıyla modellemeyi tercih ettiğimizde aşağıdakilerden hangisini kullanırız?
a. SQL
b. DROID
c. SPRITE
d. PASTA ✓