{"id":519,"date":"2021-06-28T11:07:28","date_gmt":"2021-06-28T09:07:28","guid":{"rendered":"https:\/\/labzise.noblogs.org\/?p=519"},"modified":"2021-06-28T15:22:03","modified_gmt":"2021-06-28T13:22:03","slug":"threat-modeling-workshop","status":"publish","type":"post","link":"https:\/\/labzise.noblogs.org\/?p=519","title":{"rendered":"Threat Modeling workshop"},"content":{"rendered":"

Cos\u2019\u00e8 il threat modeling<\/strong>
\n\u00c8 un processo con cui identificare potenziali minacce e vulnerabilit\u00e0, valutare quanto sono serie\/probabili nel caso specifico, metterle in una scala di priorit\u00e0, e ridurre il rischio che si avverino prendendo delle contromisure. In genere lo si fa per sistemi\/software\/prodotti, e al riguardo c\u2019\u00e8 una discreta letteratura in materia (ad esempio, Threat Modeling: Designing for Security<\/a> di Adam Shostack, un manuale fondamentale, e piuttosto tecnico, rivolto soprattutto a sviluppatori ecc).
\nMa lo si pu\u00f2 applicare anche a organizzazioni e persone, sebbene qui la disciplina sia meno sistematizzata e nel caso delle persone tenda a sovrapporsi alle misure per mettere in sicurezza le proprie attivit\u00e0 online (denominate operation security o opsec).<\/p>\n

Qui in particolare ci interessa l\u2019applicazione alle persone<\/strong>. In questa accezione, tutti noi gi\u00e0 facciamo threat modeling (le donne poi lo fanno tantissimo). Quando valutiamo che via prendere per tornare la sera, quanto \u00e8 sicura, quanto ci espone tornare a piedi da soli, che mezzi abbiamo eventualmente per evitare (o difenderci da) una aggressione. Questo \u00e8 threat modeling di strada.
\nSiamo invece meno abituati ad applicarlo nella nostra vita digitale. <\/strong>Eppure imparare a farlo aiuta molto di pi\u00f9 della solita lista di consigli, che finiscono con l\u2019essere indicazioni generiche e inascoltate. Il threat modeling invece \u00e8 alla base di una cultura della sicurezza, anche individuale.
\nDunque proviamo a fare un esercizio assieme. Partiamo dal grafico sottostante.<\/strong><\/p>\n

 <\/p>\n

\"\"<\/p>\n

Potremmo considerarlo un frammento di una attivit\u00e0 di threat modeling per una persona.<\/strong> Un frammento (semplificato qua al massimo) che parte da uno dei suoi asset pi\u00f9 importanti, la mail (ho preso per comodit\u00e0 Gmail, vista la sua diffusione).
\nNel grafico troverete che ogni freccia indica un percorso (o un pezzetto di percorso) per accedere alla vostra casella Gmail. Ovvero YOU (TU) detentore dell\u2019account ci accedi di solito usando un pc, uno smartphone e un tablet (almeno nella nostra simulazione). Ognuno di questi usa a sua volta una app o un browser (e una connessione, ad esempio un punto d\u2019accesso Wi-Fi). Che si connette a Gmail.
\nMa anche Google pu\u00f2 accedere a Gmail (che lo faccia o meno non importa, interessa la possibilit\u00e0 per ora).
\nE anche un attaccante che abbia le credenziali (semplificate qui con password).
\nE anche un attaccante che non abbia le nostre credenziali ma riesca a infilarsi nel nostro percorso per accedere a Gmail (ad esempio, usando uno dei nostri apparecchi o software. Anche qua il termine usare \u00e8 volutamente vago: si va dall\u2019infezione con un trojan veicolata navigando col browser su un sito malevolo a qualcuno che acceda fisicamente al nostro tablet incustodito). Ma l\u2019attacco potrebbe anche essere direttamente contro di noi: qualcuno che ci prenda il telefono di mano fisicamente; o ci inganni con una operazione di social engineering per farsi consegnare la password; o ci minacci fisicamente per avere la password.<\/p>\n

Ora il threat modeling sar\u00e0:<\/strong>
\n– fare una lista delle possibilit\u00e0 di attacco\/vulnerabilit\u00e0 dato questo schema che contempla i modi in cui noi o altri accediamo al nostro Gmail;
\n– valutare quelli che per noi sono gli attacchi\/vulnerabilit\u00e0 pi\u00f9 probabili, scartare quelli improbabili o comunque quasi impossibili da rimediare, e su tutti gli altri applicare dei rimedi – in gergo si dice che applichiamo dei controlli, ovvero delle contromisure contro questi attacchi, e le contromisure possono essere tecniche (ad esempio, cifratura) o procedurali (non rivelo la password a uno al telefono che si finge MrBigGoogle, ogni riferimento a Carrie \u00e8 puramente casuale).<\/p>\n

Detto altrimenti (usando l\u2019aiuto da casa di Andrew Lee-Thorp in questa presentazione video<\/a> sul threat modeling):<\/p>\n