如何使您更好地進行應用程序安全測試

了解如何創建攻擊樹圖。攻擊樹可幫助您提高應用程序安全性、發現漏洞、評估防御成本等。

想象一下，一群小偷計劃在拉斯維加斯的一家賭場進行一次重大搶劫，就像海洋十一人一樣。為了盡量減少當場被抓的機會并最大限度地提高運輸量，他們需要概述計劃的每一步。

海洋十一攻擊樹示例

他們的戰略地圖可能看起來像這樣。攻擊者的目標——搶劫賭場——位于頂部，有幾個潛在的攻擊路徑通向它。

這是攻擊樹圖的一個示例，即從攻擊者的角度對攻擊進行的方法、圖形表示。

像這樣的攻擊樹已被用于識別所有類型的復雜系統中的安全漏洞，例如監督控制和數據采集（SCADA）網絡，生物識別系統和GSM無線接入網絡。

在應用程序測試策略中，使用攻擊樹可以幫助您模擬各種攻擊場景，并就如何最好地保護應用程序做出決策。您將能夠查明最容易受到攻擊的系統和控制，并更有效地構建特定的對策。

如何創建攻擊樹圖

創建攻擊樹圖時，首先將自己置于潛在黑客的位置。你的首要目標是什么？您是否正在嘗試訪問客戶數據？擾亂業務流程？將該目標放在樹的頂部。這就是“根節點”。

在它下面，將最高級別的目標分解為一系列分支或“葉節點”，表示增量的、更易于管理的目標以及實現這些目標所需的步驟。集思廣益，想出實現目標的方法，并將它們添加到你的樹上。

使用“或”節點來表示實現目標的不同方式。在賭場搶劫案的例子中，您可以通過在槍口下突襲登記冊或使用內部人員竊取現金和籌碼來搶劫賭場。

“和”節點是實現每個子目標所需的步驟。在我們的海洋十一人場景中，竊賊精心策劃的計劃包括一系列步驟，所有這些步驟對于實現他們的總體目標都至關重要：用炸藥破壞金庫，破壞隱藏金庫漏洞的力量，以及訪問金庫安全代碼。

繪制每個攻擊途徑后，確定發生這些攻擊的可能性。每條攻擊線都需要一定的資源，例如金錢、時間或技能。要評估要求，請為每個節點分配值，例如是否可行、成本如何以及是否需要特殊技能或設備。

你能從攻擊樹中學到什么？

創建樹并為每個節點分配值后，您可以更好地準備做出主動的安全決策。以下是四種方法，您可以使用攻擊樹作為應用程序安全測試的一部分來識別、修復和防止安全漏洞。

發現計算機網絡和應用程序設計中的多步驟攻擊漏洞。 大多數組織使用多層安全性來保護其計算機網絡，這要求攻擊者完成一系列步驟才能實現其目標。攻擊樹在單獨繪制每個步驟時非常寶貴。它們可以幫助您識別攻擊路徑，從而考慮需要哪些安全控制。

表示沿樹的每條路徑的成本。 攻擊樹形圖可以幫助您計算定量和定性指標，幫助您確定防御措施的優先級。例如：

對手的觀點

發起攻擊的成本是多少？

設置和完成攻擊需要多長時間？

哪些攻擊不需要特殊技能和工具，因此更有可能發生？

攻擊的回報是多少？對手從攻擊中獲得什么？他們是在尋仇嗎？他們是否能夠訪問和重用您寶貴的 IP 或敏感的客戶數據？他們可以通過破壞您的電子商務業務邏輯來進行購買嗎？

后衛的觀點

攻擊影響：攻擊是否會影響您的業務連續性或與客戶的關系？

安全成本：如果系統遭到破壞，您是否無法通過外部安全審計或需要支付罰款？

檢測：檢測到攻擊的概率是多少？

Mincut：保護一組關鍵資產的成本最低的對策是什么？

提高測試策略的有效性。 滲透測試從各種來源收集和綜合信息，以搜索安全漏洞。但是，它們并不全面，尤其是在自動化時。它們可能無法檢測到新出現的威脅，并且可以將正?；蝾A期行為識別為異?；驉阂?，從而留下一長串誤報。Synopsys 的應用測試服務包括一種手動方法，該方法結合了攻擊樹的戰略使用，以提高準確性并節省您的時間和精力。

評估潛在防御的成本和有效性。 您可以通過創建防御樹（也稱為攻擊對策樹）來扭轉攻擊樹的視角。這些節點包括表示旨在消除或減少攻擊可能性的對策的節點。您可以使用這些樹在優化的低成本防御措施選項之間進行選擇。

底線

面對日益復雜的應用程序和潛在黑客的日益成熟，您需要一種既強大又易于構建的方法來預測和解決潛在風險。

攻擊樹圖可幫助您將潛在攻擊分解為多個步驟，查明漏洞并確定對策。將它們合并到全面的應用程序安全測試計劃中，以便您可以主動分配資源和預算。

審核編輯：郭婷