Dreigingsmodel: hoe je vooraf bedenkt wat er mis kan gaan
Een dreigingsmodel is een systematische manier om vooraf te bedenken wie een computersysteem zou willen aanvallen, hoe ze dat zouden kunnen doen, en wat de gevolgen zijn. Het is vergelijkbaar met het inbrekersproof maken van een huis: voordat je sloten en camera's ophangt, denk je na over waar inbrekers waarschijnlijk naar binnen zouden komen (de achterdeur, een laag raam), wat ze zouden willen stelen (sieraden, elektronica) en hoeveel moeite ze bereid zijn te doen.
In de digitale wereld gebeurt hetzelfde denkwerk voordat software, een app of een netwerk wordt gebouwd of beveiligd. Ontwikkelaars en beveiligingsexperts stellen zich vragen als: wie zou dit systeem willen hacken (een individuele crimineel, een concurrent, een buitenlandse overheid), welke zwakke plekken zijn er te vinden, en welke aanvallen zijn realistisch gezien de tijd en middelen van de aanvaller. Het resultaat is geen wondermiddel tegen hacks, maar een gestructureerde aanpak om beveiligingsinspanningen te richten op de grootste risico's in plaats van overal een beetje aan te doen.
Wat is het precies?
Het opstellen van een dreigingsmodel volgt meestal een aantal stappen. Eerst breng je in kaart wat je precies beschermt: is dat een database met medische gegevens, een berichtenapp, of een fabrieksrobot die via internet bestuurd wordt? Dit heet het bepalen van de 'assets', oftewel de waardevolle bezittingen.
Daarna teken je hoe het systeem in elkaar zit: welke onderdelen praten met elkaar, waar komen gegevens binnen en waar gaan ze naartoe. Beveiligingsexperts noemen dit vaak een dataflowdiagram. Op basis daarvan zoek je naar zogeheten 'aanvalsoppervlakken': elke plek waar een buitenstaander in theorie kan binnendringen, zoals een inlogscherm, een API (een technische koppeling waarmee programma's met elkaar communiceren) of een USB-poort.
Vervolgens denk je systematisch na over mogelijke aanvallen. Een bekende methode hiervoor is STRIDE, ontwikkeld bij Microsoft eind jaren negentig door Loren Kohnfelder en Praerit Garg. STRIDE staat voor zes categorieën dreigingen: Spoofing (je voordoen als iemand anders), Tampering (gegevens ongeoorloofd wijzigen), Repudiation (ontkennen dat je iets gedaan hebt), Information disclosure (informatie laten uitlekken), Denial of service (een dienst plat laten liggen) en Elevation of privilege (jezelf meer rechten toe-eigenen dan toegestaan). Voor elk onderdeel van het systeem loop je deze categorieën langs.
Als laatste stap worden de gevonden dreigingen gerangschikt naar risico: hoe waarschijnlijk is de aanval en hoe groot is de schade als die lukt? Op basis daarvan worden maatregelen bedacht, zoals extra encryptie (het versleutelen van gegevens zodat onbevoegden ze niet kunnen lezen), tweestapsverificatie of het simpelweg schrappen van een onnodige functie die risico's oplevert.
Wat wil men ermee bereiken?
Het belangrijkste doel is dat beveiliging vroeg in het ontwerpproces wordt meegenomen, in plaats van er achteraf een laagje overheen te plakken. Dit heet 'security by design': nadenken over risico's voordat de code geschreven is, is veel goedkoper en effectiever dan achteraf gaten dichten.
Daarnaast helpt een dreigingsmodel om schaarse tijd en geld gericht in te zetten. Geen enkele organisatie kan alles tegelijk perfect beveiligen. Door te bepalen welke aanvallen het meest waarschijnlijk en het meest schadelijk zijn, kunnen teams prioriteiten stellen in plaats van willekeurig beveiligingsmaatregelen te nemen.
Een ander doel is communicatie. Een dreigingsmodel geeft ontwikkelaars, managers en klanten een gedeelde taal om over risico's te praten, ook als ze geen technische achtergrond hebben. Ten slotte speelt het een rol bij compliance: sommige sectoren, zoals de auto-industrie en de medische wereld, eisen inmiddels formeel dat fabrikanten een dreigingsmodel opstellen voordat een product op de markt komt.
Voorbeelden uit de praktijk
Microsoft introduceerde in 1999 niet alleen STRIDE, maar bouwde er in de jaren daarna ook een gratis 'Threat Modeling Tool' omheen, die intern verplicht werd binnen het bedrijf na de zogeheten Trustworthy Computing-memo van Bill Gates in 2002, een reactie op een reeks ernstige beveiligingsincidenten met Windows.
De open source community ontwikkelde OWASP Threat Dragon, een gratis tekentool waarmee ontwikkelaars dataflowdiagrammen kunnen maken en automatisch mogelijke dreigingen laten suggereren. OWASP (Open Worldwide Application Security Project) is een non-profitorganisatie die sinds 2001 wereldwijd standaarden voor webapplicatiebeveiliging opstelt.
Signal, de makers van de gelijknamige versleutelde berichtenapp, publiceren openlijk over hun dreigingsmodel: ze beschrijven expliciet tegen welke aanvallers (van individuele stalkers tot overheidsdiensten) hun protocol bescherming biedt en tegen welke niet, zoals een gestolen en ontgrendelde telefoon.
In de auto-industrie is dreigingsmodellering sinds 2021 verplicht via de internationale norm ISO/SAE 21434, nadat onderzoekers in 2015 op spectaculaire wijze een Jeep Cherokee op afstand konden overnemen via het infotainmentsysteem, een incident dat leidde tot het terugroepen van 1,4 miljoen voertuigen door Fiat Chrysler.
Ook de Amerikaanse toezichthouder FDA (Food and Drug Administration) eist sinds 2023 dat fabrikanten van verbonden medische apparatuur, zoals insulinepompen en pacemakers, een dreigingsmodel indienen voordat een product goedgekeurd wordt.
Hoe ver is de techniek?
Dreigingsmodellering is geen nieuwe of experimentele technologie, maar een gevestigde werkwijze die inmiddels ruim vijfentwintig jaar meegaat. De methode zelf verandert niet snel; wel verschuiven de toepassingsgebieden. Waar het ooit vooral om bedrijfssoftware en websites ging, wordt het nu ook toegepast op auto's, medische apparaten, industriële besturingssystemen en kunstmatige intelligentie.
Een actueel obstakel is dat dreigingsmodellering arbeidsintensief blijft en specialistische kennis vereist. Veel kleinere bedrijven slaan de stap over of doen die te oppervlakkig, vaak uit tijdgebrek. Er wordt daarom geëxperimenteerd met AI-ondersteunde tools die automatisch dreigingen suggereren op basis van een systeembeschrijving, maar deze tools staan nog in de kinderschoenen en missen vaak de context die een ervaren analist wel heeft.
Een ander punt van discussie is dat klassieke modellen zoals STRIDE oorspronkelijk ontworpen zijn voor traditionele IT-systemen en niet altijd goed passen op nieuwere technologie, zoals cloudomgevingen, AI-systemen of het Internet of Things (met internet verbonden apparaten zoals slimme thermostaten). Onderzoekers werken aan aangepaste varianten, maar een universeel geaccepteerde standaard voor bijvoorbeeld AI-dreigingsmodellering bestaat nog niet.
Wie werken eraan?
Microsoft blijft een centrale speler vanwege de ontwikkeling van STRIDE en het bijbehorende gereedschap, en integreert dreigingsmodellering standaard in zijn interne ontwikkelproces (de Security Development Lifecycle). OWASP coördineert wereldwijd vrijwilligerswerk aan gratis tools en richtlijnen, vooral gericht op webapplicaties.
Het Amerikaanse MITRE, een non-profitorganisatie die onderzoek doet in opdracht van de Amerikaanse overheid, beheert ATT&CK, een uitgebreide en veelgebruikte kennisbank van aanvalstechnieken die vaak als basis dient voor dreigingsmodellen. Het Amerikaanse standaardisatie-instituut NIST (National Institute of Standards and Technology) publiceert overheidsrichtlijnen die veel bedrijven wereldwijd als referentie gebruiken.
In de auto-industrie werken brancheorganisaties als SAE International (oorspronkelijk gericht op automotive engineering) samen met ISO aan normen zoals ISO/SAE 21434. In Europa houdt het Duitse Federaal Bureau voor Informatiebeveiliging (BSI) zich actief bezig met dreigingsmodellering voor kritieke infrastructuur, en publiceert het Europees Agentschap voor Cyberbeveiliging (ENISA) richtlijnen voor onder meer AI-systemen en 5G-netwerken.