Connessione tra "Security Requirements Engineering", "Risk Analysis" e "Threat Modeling"

4

Sto cercando di capire come i concetti di cui sopra si integrano. Come ho capito, Security Requirements Engineering (SRE), Risk Analysis (RA) e Threat Modeling (TM) sono metodi che consentono a un sistema informativo di avvicinarsi agli obiettivi di sicurezza desiderati (CIA Triad, IAS Octave o qualsiasi altra cosa).

La mia domanda è: sono concetti disgiunti che possono essere eseguiti indipendentemente l'uno dall'altro, oppure esiste una sorta di gerarchia?

Sarebbe sbagliato dire che SRE è la procedura che comprende che può contenere RA, che a sua volta può usare la TM per determinare le minacce?

Qualcuno ha buone fonti riguardo i fondamenti di SRE e dei concetti che include?

    
posta daniel f. 16.05.2015 - 13:58
fonte

2 risposte

2

Un sacco di termini e linguaggi confusi qui. Per informazioni corrette sul linguaggio delle informazioni, considerare FAIR o Analisi fattoriale del rischio di informazione

La terminologia "Modellazione delle minacce" è stata correttamente sostituita da Cigital con il termine "Analisi del rischio architettonico". L'uso di "minaccia" qui è particolarmente errato.

La valutazione del rischio (ad es. OCTAVE, OCTAVE Allegro) è anche molto diversa dall'analisi del rischio. Una valutazione del rischio è un questionario documentato e puntuale nel migliore dei casi. Un'analisi del rischio può essere molto più utile quando le variabili di input sono selezionate e formulate correttamente. Con "utile", intendo che riflettono la realtà più vicina a ciò che un essere umano può correlare e adattarsi ai modelli normalizzati.

Senza invocare il libro "Software Security Engineering: una guida per i project manager", posso dire che l'ingegneria dei requisiti di sicurezza, come richiesto, non è un problema chiaramente definito da risolvere nel cyber-risk. Alla fine degli anni '90 molti progetti documentati basati su Waterfall o altre prescrizioni relative al ciclo di vita sono stati abbandonati nei circoli di Information Technology e Application Development. Oggi, le nostre pratiche e catene di valore sono allineate a Scrumban, l'evoluzione più moderna di xp.

Se riesci a seguire il modello FAIR, capirai in che modo il rischio di informazione si adatta alla tua organizzazione. Esiste al di fuori dei tuoi processi aziendali: è una lingua standard per comunicare con la moltitudine di giocatori che potrebbero presentarsi alla conversazione sul rischio informatico. Le minacce, come in TCom e TCaps, sono una parte importante del modello FAIR, quindi è necessario quantificare le minacce per quantificare il rischio. Devi anche capire il business. Se si identifica una vulnerabilità o un problema del set di controllo, si vorrà sollecitare la causa principale. La causa principale non è mai una patch: è sempre di ritorno al processo aziendale, in genere alla gestione delle conseguenze o persino alla gestione delle crisi.

Se vuoi vedere come si possono veramente adattare questi pezzi insieme, ti suggerisco di dare un'occhiata a FAIR, ma l'integrazione è la chiave - e OpenSAMM rende questa integrazione più pulita di qualsiasi altra cosa abbia visto. Se hai bisogno di una mappa strategica per prevedere i tuoi output futuri (o raccogliere le variabili di input corrette in primo luogo), allora OWASP OpenSAMM può essere adatto a qualsiasi esigenza di cyber-rischio. Vedrai il linguaggio corretto attorno a "ingegneria dei requisiti di sicurezza", "valutazione delle minacce" (analisi dei rischi), "revisione del progetto" (la tua modellazione delle minacce) e molto più esplicitamente definito e spiegato all'interno.

    
risposta data 17.05.2015 - 05:34
fonte
0

Esiste un nuovo concetto chiamato " Ciclo attivo di difesa informatica "che utilizza tutti e tre in un ciclo piuttosto che in una gerarchia.

Ciò significa che l'Intelligence sulle minacce specifica per il proprio ambiente viene sempre analizzata e alimentata alla risposta agli incidenti. Le risposte sono informate dalla conoscenza della rete interna e abilitate a fare rapidi cambiamenti alle strutture di rete. L'aiuto di RA determina se le minacce sono specifiche per i tuoi sistemi, mentre la "linea di base" è una combinazione di monitoraggio della sicurezza della rete e modifiche e fondamenti architettonici forti e sicuri nella rete.

Questo è stato sviluppato da Robert Lee di SANS e Utica College.

SRE è incorporato tramite la conoscenza della rete, che è essenziale per la difesa in quanto dovresti già conoscere la tua rete mentre un utente malintenzionato deve raccogliere ricognizioni.

Per riassumere e rispondere, possono essere fatti in modo indipendente ma non dovrebbero esserlo. Nessuna squadra in INFOSEC presso un'organizzazione dovrebbe essere isolata. Non c'è motivo per i team di Risposta agli incidenti di non parlare con i team Net Admins e Threat Intel.

link

    
risposta data 15.08.2015 - 14:37
fonte

Leggi altre domande sui tag