Lakukan Pemodelan Ancaman
Deskripsi
Lakukan pemodelan ancaman. Pemodelan ancaman adalah proses mengidentifikasi dan menangani kelemahan desain keamanan aplikasi dalam desain, sebelum kode dibuat.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform keamanan aplikasi dengan SAST, DAST, SCA, dan pelatihan pengembang untuk pengembangan perangkat lunak yang aman
Veracode · Langganan per aplikasi
Platform keamanan aplikasi cloud-native dengan SAST, SCA, DAST, keamanan API, dan pengujian keamanan rantai pasokan
Checkmarx · Langganan per pengembang
Rangkaian pengujian keamanan aplikasi dengan SAST (Coverity), SCA (Black Duck), dan DAST untuk AppSec yang komprehensif
Synopsys · Langganan per pengembang
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Kelemahan Desain Arsitektural Dieksploitasi Setelah Deployment
ConfidentialityPenyerang mengeksploitasi kelemahan desain fundamental dalam arsitektur aplikasi, seperti batas kepercayaan yang tidak aman, yang akan teridentifikasi selama pemodelan ancaman tetapi tidak pernah dianalisis sebelum kode ditulis.
Titik Masuk yang Tidak Teridentifikasi Dimanfaatkan oleh Penyerang
IntegrityPenyerang menemukan dan mengeksploitasi titik masuk yang terlewat dalam aplikasi yang tidak dipertimbangkan tim pengembangan karena tidak ada pemodelan ancaman terstruktur yang memetakan semua permukaan serangan dan tingkat akses.
Desain Ulang Pasca-Deployment yang Mahal untuk Kelemahan Keamanan
AvailabilityKelemahan keamanan fundamental ditemukan di produksi yang memerlukan desain ulang arsitektural lengkap, yang akan sepele untuk diperbaiki selama desain seandainya pemodelan ancaman mengidentifikasinya sebelum pengembangan dimulai.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Analisis Ancaman Pra-Pengembangan
Tanpa pemodelan ancaman sebelum kode ditulis, kelemahan keamanan arsitektural, batas kepercayaan yang tidak aman, dan titik masuk yang tidak terlindungi tertanam dalam desain dan mahal untuk diremediasi kemudian.
Permukaan Serangan Tidak Dipetakan Secara Sistematis
Ketiadaan pemodelan ancaman berarti titik masuk aplikasi, alur data, batas kepercayaan, dan tingkat akses tidak dianalisis secara formal untuk risiko keamanan, meninggalkan titik buta dalam postur keamanan.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |