Threat modeling — tizim dizaynini hujumchi nuqtai nazaridan tahlil qilib, aktivlar, trust boundary, tahdidlar va himoya choralarini oldindan aniqlash jarayonidir. U zaiflik scanneridan farqli ravishda mavjud koddagi ma’lum patternni emas, tizim qanday ishlashi va qayerda xavfsizlik qarori qabul qilinishini o‘rganadi. Natija bir martalik diagramma emas, arxitektura bilan yangilanadigan risk modeli bo‘lishi kerak.
Model chegarasi
Avval maqsad va scope belgilanadi. Qaysi xizmatlar, foydalanuvchilar, ma’lumotlar va uchinchi tomonlar modelga kirishi yoziladi. Aktiv qiymati aniqlanmasa barcha tahdidlar bir xil ko‘rinadi. Credential, shaxsiy ma’lumot, moliyaviy holat, source code va xizmat mavjudligi turli himoya talabiga ega.
Data flow diagram process, data store, external entity va ular orasidagi oqimlarni ko‘rsatadi. Trust boundary turli ishonch yoki boshqaruv zonasini ajratadi: browser bilan API, service bilan database, bir tenant bilan boshqasi. Har boundary’da autentifikatsiya, avtorizatsiya, validatsiya va encryption savollari ko‘riladi.
Tahdidlarni topish
STRIDE usuli spoofing, tampering, repudiation, information disclosure, denial of service va elevation of privilege toifalarini eslatma sifatida beradi. Attack tree hujumchi maqsadini kichik yo‘llarga ajratadi. Abuse case qonuniy funksiyaning zararli ketma-ketlikda ishlatilishini tasvirlaydi. Metod vosita, lekin jamoaning domen bilimi asosiy manbadir.
Har tahdid concrete scenario shaklida yoziladi: kim, qaysi shartda, qaysi oqimdan foydalanib, qanday aktivga ta’sir qiladi. “Injection bo‘lishi mumkin” juda umumiy; “hisobot filtri parametridan SQL queryga chegaralanmagan operator uzatiladi” tekshiriladigan ssenariydir.
Risk va mitigation
Risk ehtimol va ta’sir bilan baholanadi, ammo raqamlar soxta aniqlik bermasligi kerak. Internet exposure, mavjud privilege, exploit murakkabligi, aniqlash imkoniyati va recovery xarajati qarorni boyitadi. Eng yuqori risklar dizayn talabi, security test va monitoring vazifasiga aylantiriladi.
Mitigation tahdidni yo‘qotishi, ehtimolini kamaytirishi, ta’sirini cheklashi yoki ongli qabul qilishi mumkin. Markaziy authorization, tenant-aware data access, idempotency va rate limit kabi choralar diagrammadagi aniq boundaryga bog‘lanadi. Nazoratning o‘zi yangi dependency va failure mode yaratishi ham tahlil qilinadi.
Yangilanish va tekshiruv
Yangi endpoint, data store, identity provider yoki deployment topologiyasi modelni eskirtiradi. Arxitektura review va muhim pull requestlar threat modelga o‘zgarish kiritadi. Tabletop mashq tahdid ro‘y berganda signal, owner va recovery yo‘lini tekshiradi. Modeldagi taxminlar penetration test va production telemetry bilan tasdiqlanadi; real incidentdan olingan saboq keyingi versiyaga qaytariladi.
Sessiyani tashkil etish
Samarali modeling sessiyasida arxitektor, developer, operation, product va security vakili qatnashadi. Moderator diagrammani real request yoki user journey orqali tekshirtiradi: ma’lumot qayerdan keladi, kimga ishoniladi va failure paytida nima bo‘ladi. Uchrashuv barcha mumkin bo‘lgan tahdidni tugatishga urinmaydi; eng muhim noma’lumlik va action itemlarni owner bilan yozadi. Katta tizim bounded contextlarga bo‘linib, keyin ular orasidagi boundary alohida ko‘riladi. Modelni faqat security mutaxassisi yopiq holda tayyorlasa, domen qoidasi yo‘qoladi; faqat developer tayyorlasa adversarial yo‘llar yetishmasligi mumkin. Turli qarashlar uning asosiy kuchidir.
Har action item diagrammadagi tahdid identifikatoriga bog‘lanadi. Shunda control joriy etilgach qaysi risk kamaygani va qaysi residual risk qolganini keyingi review aniq ko‘radi.
Bog‘liq tushunchalar
STRIDE, Attack tree, Trust boundary, Data flow diagram, Abuse case, Risk assessment, Security architecture