ख़तरा मॉडलिंग गाइड

ख़तरा मॉडलिंग क्या है?

साइबर हमले कई रूपों में आते हैं और इन हमलों से बचाव करना कभी-कभी चुनौतीपूर्ण हो सकता है। हम राष्ट्रीय साइबरस्पेस सुरक्षा, नेटवर्क सुरक्षा, एप्लिकेशन सुरक्षा, डेटा सुरक्षा और इनके बीच की हर चीज़ के बारे में चिंता करते हैं। सुरक्षा पेशेवर के लिए जो बात मुश्किल हो जाती है वह यह है कि हमलावर एक हजार एक तरीकों से प्रवेश कर सकता है, और प्रत्येक संभावित प्रवेश बिंदु को सुरक्षित करना होगा। हमलावर कहीं भी हमला कर सकते हैं और रक्षकों को हर जगह बचाव करना पड़ता है। इससे पहले कि प्रत्येक संभावित प्रवेश बिंदु को सुरक्षित किया जा सके और वेक्टर पर हमला किया जा सके, पहले उन्हें पहचाना जाना चाहिए, और यहीं पर थ्रेड मॉडलिंग खेल में आती है।

खतरा मॉडलिंग यह है कि संभावित खतरों को कैसे पहचाना, गिना, वर्गीकृत और कम किया जा सकता है। यह एक सक्रिय दृष्टिकोण है जिसका उपयोग यह समझने के लिए किया जाता है कि विभिन्न खतरों और हमलों को कैसे महसूस किया जा सकता है। खतरे के मॉडलिंग का उद्देश्य सुरक्षा टीमों को एक व्यवस्थित विश्लेषण प्रदान करना है कि संपत्ति की प्रकृति, सबसे संभावित हमले के वैक्टर और हमलावर द्वारा सबसे अधिक मांग की जाने वाली संपत्ति को देखते हुए क्या जवाबी उपाय लागू करने की आवश्यकता है। ख़तरा मॉडलिंग ऐसे सवालों के जवाब देता है जैसे 'मुझ पर हमला करने का ख़तरा सबसे ज़्यादा कहाँ है?', 'कौन सी धमकियाँ दी गईं तो उनका प्रभाव अधिक हो सकता है?', और 'इन खतरों से बचाव के लिए क्या जवाबी उपाय आवश्यक हैं?'।

खतरा मॉडलिंग क्यों महत्वपूर्ण है?

साइबर हमलों की गतिशील प्रकृति खतरे के मॉडलिंग को सुरक्षा के लिए मौलिक बनाती है। सुरक्षा के आक्रमण और बचाव पक्ष लगातार बदल रहे हैं। इस परिवर्तन पर उचित प्रतिक्रिया देने के लिए, संगठनों को लगातार अपनी सुरक्षा का पुनर्मूल्यांकन और विकास करने की आवश्यकता है। इसके अलावा, एप्लिकेशन या सिस्टम को हमलों के प्रति लचीले होने के लिए डिज़ाइन किया जाना चाहिए। हालाँकि, लचीलापन प्राप्त करने के लिए आवश्यक उचित सुरक्षा नियंत्रण स्थापित करने से कुछ वित्तीय निहितार्थ उत्पन्न होते हैं।

खतरे के मॉडलिंग का मूल सिद्धांत यह है कि सुरक्षा के लिए हमेशा सीमित संसाधन होते हैं, जिससे सिस्टम के भीतर हर खतरे को कम करना मुश्किल हो जाता है। इसलिए, यह निर्धारित करना आवश्यक है कि उन सीमित संसाधनों का प्रभावी ढंग से उपयोग कैसे किया जाए। संगठनों को जोखिमों को प्राथमिकता देनी चाहिए और तदनुसार उनका इलाज करना चाहिए। जोखिम का निर्धारण करने में एक महत्वपूर्ण कारक खतरा है। खतरा मॉडलिंग संगठनों को सिस्टम से संबंधित खतरे के परिदृश्यों की व्यवस्थित रूप से पहचान करने में मदद करता है ताकि उनकी सुरक्षा के लिए प्रभावी जवाबी उपाय लागू किए जा सकें। यही कारण है कि खतरा मॉडलिंग आवश्यक है। यह सुरक्षा टीमों को यह समझने में मदद करता है कि सिस्टम कैसे असुरक्षित हो सकते हैं और प्रत्याशित खतरों की गंभीरता और प्रभाव के अनुसार सुधारों को प्राथमिकता देने के लिए किन नियंत्रण सुधारों की आवश्यकता है।

खतरा मॉडलिंग जोखिम मूल्यांकन में कैसे फिट बैठता है

जोखिम मूल्यांकन परिसंपत्तियों, खतरों और कमजोरियों का विश्लेषण करके सुरक्षा जोखिमों की पहचान करता है, जिसमें उनकी गंभीरता और घटना की संभावना भी शामिल है। दूसरी ओर, खतरा मॉडलिंग परिसंपत्तियों पर अधिक ध्यान केंद्रित करने और संभावित खतरों और हमले वाले वैक्टरों की पहचान करने की अनुमति देता है जो जोखिम मूल्यांकन के दौरान उन परिसंपत्तियों और उनके घटकों पर पाई गई कमजोरियों का फायदा उठा सकते हैं। इसके अलावा, यह देखता है कि कौन संपत्ति पर हमला करना चाहेगा और वे इसे सफलतापूर्वक कैसे कर सकते हैं।

खतरा मॉडलिंग वास्तव में जोखिम मूल्यांकन का एक रूप है जो किसी सिस्टम या उसके घटकों के हमले और रक्षा पक्षों के पहलुओं को मॉडल करता है। यह कार्यों, गतिविधियों और परिदृश्यों के एक अच्छी तरह से वर्णित अनुक्रम के साथ प्रासंगिक खतरे की घटनाओं को उत्पन्न करके जोखिम मूल्यांकन प्रक्रिया को बढ़ाता है जो हमलावर संपत्ति या सिस्टम से समझौता करने के लिए उठा सकता है। इससे सुरक्षा टीमों को अधिक लक्षित नियंत्रण और जवाबी उपाय अपनाने में मदद मिलती है। नीचे दिया गया चित्र दिखाता है कि खतरा मॉडलिंग और जोखिम मूल्यांकन एक साथ कैसे फिट होते हैं।

ख़तरा मॉडलिंग प्रक्रिया के घटक

खतरे के मॉडलिंग के लिए विभिन्न दृष्टिकोण या पद्धतियों का उपयोग किया जाता है; हम अगले भाग में उस पर चर्चा करेंगे। हालाँकि, इन सभी पद्धतियों में कुछ प्रक्रियाएँ या तार्किक प्रवाह हैं जो उनमें समान हैं। आइए अब इन बुनियादी तार्किक प्रवाह की जाँच करें:

प्रोजेक्ट टीम और दायरा स्थापित करें : अधिक पूर्ण खतरे वाले मॉडल की गारंटी के लिए खतरा मॉडलिंग टीम यथासंभव विषम होनी चाहिए। इसमें सी-स्तर के अधिकारी, नेटवर्क इंजीनियर, डेवलपर्स और सुरक्षा प्रबंधक जैसे प्रमुख हितधारक शामिल होने चाहिए। इसके बाद, लक्ष्य प्रणाली के लिए खतरा मॉडलिंग करने से पहले तकनीकी दायरे, सिस्टम आर्किटेक्चर, सिस्टम घटकों, सुरक्षा परिधि और डेटा प्रवाह सहित कार्य के दायरे को परिभाषित करें और उसका वर्णन करें। इसमें जानकारी एकत्र करना और परिधि सीमाओं का सीमांकन करना शामिल है।

सिस्टम या एप्लिकेशन को विघटित करें : सिस्टम अपघटन एक सिस्टम को उसके विभिन्न घटकों में तोड़ना है। इसमें सिस्टम घटकों की पहचान करना, डेटा प्रवाह कैसे होता है इसका चित्रण करना और विश्वास की सीमाओं को विभाजित करना शामिल है। किसी सिस्टम को विघटित करने की तकनीकों में से एक डेटा प्रवाह आरेख (डीएफडी) बनाना है। डीएफडी उपयोगकर्ताओं को एक दृश्य प्रतिनिधित्व देकर सिस्टम में बेहतर अंतर्दृष्टि प्राप्त करने में मदद करता है जो सिस्टम में डेटा प्रवाह और उपयोगकर्ताओं द्वारा सिस्टम स्थिति के भीतर किए जा सकने वाले कार्यों को दर्शाता है। कुछ मॉडल डीएफडी के बजाय प्रक्रिया प्रवाह आरेख (पीएफडी) पर भरोसा करते हैं। एक बार पूरा होने पर, दृश्य प्रतिनिधित्व का उपयोग संभावित खतरों की पहचान करने और उनकी गणना करने के लिए किया जाता है।

संभावित खतरों की पहचान करें: खतरे की पहचान में खतरे के कारकों और घटनाओं की पहचान करना और उनका दस्तावेजीकरण करना शामिल है। फिर, सभी संभावित लक्ष्यों के लिए, निर्धारित करें कि खतरे कहां मौजूद हैं और खतरे के परिदृश्यों का उपयोग करें और संभावित कमजोरियों की पहचान करने के लिए पेड़ों पर हमला करें जिनका फायदा उठाया जा सकता है। इस चरण को स्वचालित करने के लिए ख़तरा मॉडलिंग टूल का भी उपयोग किया जा सकता है।

आक्रमण मॉडलिंग : हमला मॉडलिंग एक हमलावर के घुसपैठ के दृष्टिकोण का वर्णन करता है ताकि उपयोगकर्ता सिस्टम की रक्षा के लिए आवश्यक शमन नियंत्रणों की पहचान कर सकें और इसके कार्यान्वयन को प्राथमिकता दे सकें। सिस्टम से संबंधित खतरे की घटनाओं को रखने के बाद, उन्हें हमलों के संभावित अनुक्रम से जोड़ें। इसमें हमलों के अनुक्रम का मानचित्रण करना, रणनीति, तकनीकों और प्रक्रियाओं का वर्णन करना और खतरे के परिदृश्य बनाना शामिल है। हमले के मॉडल के लिए MITER ATT&CK या लॉकहीड मार्टिन किल चेन जैसे हमले के ढांचे का उपयोग किया जा सकता है।

शमन कार्यान्वित करें . विभिन्न चरणों में हमले के कारकों और सुरक्षा जोखिमों को समझकर, आप खतरों या संभावित हमलों को कम करने या उनके प्रभाव को कम करने के लिए उचित नियंत्रण और जवाबी उपाय लागू कर सकते हैं। इन खतरों को रोकने के लिए रणनीतियाँ विकसित करें। इसमें आम तौर पर खतरे से बचना, खतरे के नकारात्मक प्रभाव या संभावना को कम करना, खतरे के पूरे या कुछ हिस्से को दूसरे पक्ष को स्थानांतरित करना और यहां तक ​​कि किसी विशेष खतरे के कुछ या सभी संभावित या वास्तविक परिणामों को स्वीकार करना शामिल है। इन रणनीतियों के विपरीत का उपयोग अवसरों पर प्रतिक्रिया देने के लिए किया जा सकता है।

ख़तरा मॉडलिंग ढाँचे और पद्धतियाँ

ऐसी कई उपलब्ध पद्धतियाँ और ढाँचे हैं जिनका उपयोग आप खतरे का मॉडलिंग करने के लिए कर सकते हैं। खतरा मॉडलिंग पद्धतियों को दृष्टिकोण के फोकस के अनुसार वर्गीकृत किया जा सकता है। इन दृष्टिकोणों में वे दृष्टिकोण शामिल हैं जो सिस्टम की परिसंपत्तियों पर ध्यान केंद्रित करते हैं जो खतरे से मॉडल (संपत्ति-केंद्रित) हैं, वे जो हमलावरों पर ध्यान केंद्रित करते हैं (हमला-केंद्रित खतरा मॉडलिंग), और वे दृष्टिकोण जो सॉफ्टवेयर या सिस्टम (सॉफ्टवेयर-केंद्रित) पर ध्यान केंद्रित करते हैं या सिस्टम-केंद्रित खतरा मॉडलिंग)। यह तय करना कि कौन सी विधियां तैनात की जानी हैं, सिस्टम या तैयार किए गए खतरों के प्रकार और किस उद्देश्य से हैं, इस पर निर्भर करता है। आज आमतौर पर उपयोग की जाने वाली कुछ खतरा मॉडलिंग पद्धतियाँ नीचे दी गई हैं:

छलांग : माइक्रोसॉफ्ट इंजीनियरों ने सिस्टम में खतरों की खोज का मार्गदर्शन करने के लिए 1999 में STRIDE पद्धति विकसित की। इसका उपयोग लक्ष्य प्रणाली के एक मॉडल के संयोजन में किया जाता है जिसे समानांतर में बनाया जा सकता है। इसमें प्रक्रियाओं, डेटा भंडार, डेटा प्रवाह और विश्वास सीमाओं का पूर्ण विवरण शामिल है। STRIDE उन खतरों के प्रकारों का संक्षिप्त रूप है जिनसे यह निपटता है। नीचे दी गई तालिका STRIDE द्वारा प्रबंधित विभिन्न खतरों और उल्लंघन की गई संबंधित संपत्तियों का विवरण है:

तालिका 1.0 | STRIDE धमकियों और संबंधित संपत्तियों का उल्लंघन किया गया

सप्तक: ऑपरेशनली क्रिटिकल थ्रेट, एसेट और वल्नरेबिलिटी इवैल्यूएशन (ऑक्टेव) एक परिसंपत्ति-और ऑपरेशन-केंद्रित खतरा मॉडलिंग पद्धति है जिसे 2003 में कार्नेगी मेलन विश्वविद्यालय में विकसित किया गया था ताकि संगठनों को गैर-तकनीकी जोखिमों का आकलन करने में मदद मिल सके जो डेटा उल्लंघन के परिणामस्वरूप हो सकते हैं। ऑक्टेव में निम्नलिखित चरण शामिल हैं:

• परिसंपत्ति-आधारित ख़तरे प्रोफ़ाइल का निर्माण-संगठनात्मक मूल्यांकन।
• बुनियादी ढांचे की कमजोरियों की पहचान करना-सूचना बुनियादी ढांचे का मूल्यांकन
• सुरक्षा रणनीति विकसित करना और योजना बनाना-संगठन की महत्वपूर्ण संपत्तियों और निर्णय लेने के जोखिमों का मूल्यांकन करना।

OCTAVE के साथ, किसी संगठन की सूचना परिसंपत्तियों की पहचान की जाती है, और डेटासेट में संग्रहीत डेटा के प्रकार के आधार पर विशेषताएँ होती हैं। जोखिम-जागरूक कॉर्पोरेट संस्कृति बनाते समय OCTAVE सबसे उपयोगी है। हालाँकि, इसमें स्केलेबिलिटी का अभाव है।

ट्राइक: ट्राइक खतरे के मॉडलिंग और जोखिम मूल्यांकन के लिए एक ओपन-सोर्स परिसंपत्ति-केंद्रित ढांचा है।

मौजूदा खतरा मॉडलिंग पद्धतियों की दक्षता और प्रभावशीलता में सुधार के लिए यह परियोजना 2006 में शुरू हुई थी। ट्राइक साइबर जोखिम प्रबंधन परिप्रेक्ष्य से सुरक्षा ऑडिटिंग प्रक्रिया को संतुष्ट करने पर केंद्रित है। ट्राइक खतरा मॉडलिंग पद्धति की नींव एक 'आवश्यकता मॉडल' है - जो यह सुनिश्चित करती है कि प्रत्येक परिसंपत्ति के लिए जोखिम का निर्दिष्ट स्तर विभिन्न हितधारकों के लिए 'स्वीकार्य' है।

डेटा प्रवाह आरेख (डीएफडी) के माध्यम से पुनरावृत्ति करके खतरों की पहचान की जाती है। पहचाने गए खतरों को दो श्रेणियों में बांटा गया है: सेवा से इनकार या विशेषाधिकार का उन्नयन। इसके बाद ट्राइक खतरा मॉडल तैयार करने के लिए कार्यान्वयन मॉडल का विश्लेषण किया जाता है।

पास्ता : हमला सिमुलेशन और खतरा विश्लेषण (पास्टा) की प्रक्रिया एक सात-चरणीय, हमला-केंद्रित पद्धति है जिसे 2015 में व्यावसायिक प्रभाव विश्लेषण और अनुपालन आवश्यकताओं पर विचार करते समय संगठनों को व्यावसायिक उद्देश्यों के साथ तकनीकी आवश्यकताओं को संरेखित करने में मदद करने के लिए डिज़ाइन किया गया था। इस पद्धति का लक्ष्य एक गतिशील खतरे की पहचान, गणना और स्कोरिंग प्रक्रिया प्रदान करना है। PASTA गतिशील रूप से खतरों की पहचान करने, गिनने और प्राथमिकता देने के लिए टीमों का मार्गदर्शन करने पर केंद्रित है। समग्र क्रम इस प्रकार है:

1. व्यावसायिक उद्देश्यों को परिभाषित करें
2. तकनीकी क्षेत्र को परिभाषित करें
3. अनुप्रयोग अपघटन
4. ख़तरे का विश्लेषण
5. भेद्यता और कमज़ोरियों का विश्लेषण
6. हमले की गणना और मॉडलिंग
7. जोखिम विश्लेषण और प्रतिउपाय

एक बार खतरा मॉडल पूरा हो जाने पर, पहचाने गए खतरों का विस्तृत विश्लेषण और उचित सुरक्षा नियंत्रण विकसित किया जा सकता है। PASTA खतरा मॉडलिंग उन संगठनों के लिए आदर्श है जो रणनीतिक उद्देश्यों के साथ जुड़ना चाहते हैं क्योंकि यह प्रक्रिया के अभिन्न अंग के रूप में व्यावसायिक प्रभाव विश्लेषण को शामिल करता है।

एनआईएसटी खतरा मॉडलिंग गाइड: यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी (एनआईएसटी) ने 2016 में अपना खुद का प्रकाशन किया डेटा-केंद्रित खतरा मॉडलिंग पद्धति जो सिस्टम के भीतर उच्च-मूल्य डेटा की सुरक्षा पर केंद्रित है। यह चयनित डेटा के लिए हमले और बचाव के पहलुओं को मॉडल करता है। इस मॉडल में, जोखिम विश्लेषण निम्नलिखित चार महत्वपूर्ण चरणों का उपयोग करके किया जाता है:

• रुचि के सिस्टम और डेटा को पहचानें और चिह्नित करें
• मॉडल में शामिल किए जाने वाले आक्रमण वैक्टरों को पहचानें और चुनें
• हमले के वाहकों को कम करने के लिए सुरक्षा नियंत्रणों की विशेषता बताएं
• खतरे के मॉडल का विश्लेषण करें

यह गाइड सुरक्षा प्रबंधकों, सुरक्षा इंजीनियरों/वास्तुकारों, सिस्टम प्रशासकों, लेखा परीक्षकों और सिस्टम और डेटा की सुरक्षा के लिए जिम्मेदार अन्य लोगों पर लक्षित है। लेखकों के अनुसार, “इरादा मौजूदा पद्धतियों को प्रतिस्थापित करने का नहीं है, बल्कि मूलभूत सिद्धांतों को परिभाषित करने का है जो किसी भी ठोस डेटा-केंद्रित सिस्टम खतरा मॉडलिंग पद्धति का हिस्सा होना चाहिए।

बहुत बड़ा: विज़ुअल, एजाइल और सिंपल थ्रेट (VAST) एक उच्च स्केलेबल मॉडलिंग पद्धति है जो डेवलपर और इंफ्रास्ट्रक्चर टीम दोनों की चिंताओं को विशिष्ट रूप से संबोधित करती है। स्वचालन, एकीकरण और सहयोग VAST खतरा मॉडलिंग के लिए मूलभूत हैं। VAST चारों ओर बना हुआ है ख़तरा मॉडलर -एक स्वचालित खतरा मॉडलिंग उपकरण जिसे संपूर्ण सॉफ्टवेयर विकास जीवन चक्र (एसडीएलसी) में एकीकृत करने के लिए डिज़ाइन किया गया है। यह पद्धति दो ख़तरे मॉडल का उपयोग करती है: विकास टीमों के लिए अनुप्रयोग ख़तरा मॉडल और बुनियादी ढाँचा टीमों के लिए परिचालन ख़तरा मॉडल।

विकास टीमों के लिए एप्लिकेशन ख़तरा मॉडल प्रक्रिया प्रवाह आरेख (पीएफडी) के साथ बनाए जाते हैं - एक फ़्लोचार्ट जो किसी व्यावसायिक प्रक्रिया के सामान्य प्रवाह का वर्णन करने में मदद करता है और उपयोगकर्ता सिस्टम के साथ कैसे इंटरैक्ट करेगा। गहरी प्रासंगिक अंतर्दृष्टि और हमलावर के समान दृश्य प्रदान करने के लिए VAST DFD के बजाय PFD का उपयोग करता है। दूसरी ओर, परिचालन संबंधी ख़तरे वाले मॉडल एक हमलावर के दृष्टिकोण से प्रस्तुत पारंपरिक डीएफडी का भी उपयोग करते हैं।

सही खतरा मॉडलिंग पद्धति का चयन करना

विभिन्न ख़तरे मॉडलिंग पद्धतियों के साथ, अपने व्यवसाय और पर्यावरण के लिए सही पद्धति चुनना चुनौतीपूर्ण हो सकता है। सभी खतरा मॉडलिंग पद्धतियाँ एक ही दृष्टिकोण से नहीं बनाई गई हैं। कुछ सिस्टम की परिसंपत्तियों को खतरे के मॉडल पर केंद्रित करते हैं, कुछ हमलावरों पर, और कुछ सिस्टम या सॉफ़्टवेयर को खतरे के मॉडल पर ध्यान केंद्रित करते हैं।

जबकि सभी खतरा मॉडलिंग पद्धतियां संभावित खतरों की पहचान कर सकती हैं, पहचाने गए खतरों की संख्या और प्रकार में काफी भिन्नता होगी, जिसमें उन खतरे के मॉडल से प्राप्त गुणवत्ता, स्थिरता और मूल्य शामिल हैं। एक संगठन के लिए फीचर और मॉडलिंग दृष्टिकोण के दृष्टिकोण से जो बात बिल्कुल फिट बैठती है वह दूसरे के लिए फिट नहीं हो सकती है। यह सुनिश्चित करने के लिए कि खतरे की खुफिया जानकारी कार्रवाई योग्य है, सुरक्षा टीमों को यह समझना होगा कि कौन सी विधि उनके विशिष्ट व्यावसायिक लक्ष्यों और उद्देश्यों के साथ संरेखित है।

आपको विभिन्न कारकों पर विचार करने की आवश्यकता है जैसे कि सिस्टम या खतरों के प्रकार को खतरे के रूप में तैयार किया जा रहा है, और किस उद्देश्य के लिए, मॉडलिंग दृष्टिकोण (संपत्ति-केंद्रित, हमला-केंद्रित, या सॉफ्टवेयर-केंद्रित) जो आपकी आवश्यकताओं के लिए सबसे उपयुक्त है, वांछित परिणाम, पैमाने की क्षमता, रिपोर्ट तैयार करने की क्षमता, और दूसरों के बीच खतरे के मॉडलिंग की प्रभावशीलता को मापने की क्षमता।

ख़तरा मॉडलिंग उपकरण

खतरा मॉडलिंग एक जटिल और समय लेने वाली प्रक्रिया हो सकती है। हालाँकि, कुछ उपकरण प्रक्रिया को स्वचालित कर सकते हैं और इसमें शामिल समय और लागत को कम कर सकते हैं। एक अच्छा ख़तरा मॉडलिंग टूल उपयोगकर्ताओं को सभी प्रकार के संभावित खतरों की कल्पना करने, डिज़ाइन करने, योजना बनाने और भविष्यवाणी करने की सुविधा देता है। Microsoft Visio, Excel और PowerPoint खतरे के मॉडलिंग के लिए उपयोग किए जाने वाले सबसे आम उपकरणों में से हैं। आमतौर पर उपयोग किए जाने वाले अन्य वाणिज्यिक और ओपन-सोर्स खतरा मॉडलिंग टूल में शामिल हैं:

1. माइक्रोसॉफ्ट थ्रेट मॉडलिंग टूल

माइक्रोसॉफ्ट का खतरा मॉडलिंग टूल गैर-सुरक्षा विशेषज्ञों को ध्यान में रखकर डिज़ाइन किया गया था और यह निःशुल्क उपलब्ध है। यह टूल किसी भी समस्या-ट्रैकिंग सिस्टम में प्लग इन कर सकता है, जिससे खतरे की मॉडलिंग प्रक्रिया मानक विकास प्रक्रिया का हिस्सा बन सकती है। इसके अलावा, यह खतरे के मॉडल बनाने और उनका विश्लेषण करने पर स्पष्ट मार्गदर्शन प्रदान करता है और डेवलपर्स या सॉफ्टवेयर आर्किटेक्ट्स को सक्षम बनाता है:

• उनके सिस्टम के सुरक्षा डिज़ाइन के बारे में संवाद करें।
• एक सिद्ध पद्धति का उपयोग करके संभावित सुरक्षा मुद्दों के लिए उन डिज़ाइनों का विश्लेषण करें।
• सुरक्षा मुद्दों के लिए उपाय सुझाएं और प्रबंधित करें।

2. OWASP ख़तरा ड्रैगन

OWASP ख़तरा ड्रैगन एक ओपन-सोर्स खतरा मॉडलिंग टूल है जिसका उपयोग सुरक्षित विकास जीवनचक्र के हिस्से के रूप में खतरा मॉडल बनाने के लिए किया जाता है। थ्रेट ड्रैगन के मूल्यों और सिद्धांतों का पालन करता है ख़तरा मॉडलिंग घोषणापत्र .

पेशेवर:

• पूरी तरह से खुला स्रोत और पारदर्शी मंच
• STRIDE जैसी लोकप्रिय पद्धतियों का समर्थन करता है
• मजबूत सामुदायिक समर्थन है
• एकीकरण की एक विस्तृत श्रृंखला का समर्थन करता है

दोष:

• गैर-उद्यम वातावरण के लिए बेहतर अनुकूल

थ्रेट ड्रैगन स्ट्राइड और अन्य पद्धतियों का समर्थन करता है और संभावित खतरों का दस्तावेजीकरण कर सकता है और उनके शमन पर निर्णय ले सकता है।

3. थ्रेटमॉडलर

ख़तरा मॉडलर एक स्वचालित आधुनिक खतरा मॉडलिंग उपकरण है जो VAST पद्धति को लागू करता है। टूल को एक चुस्त सॉफ़्टवेयर विकास वातावरण में एकीकृत करने और डेवलपर्स और सुरक्षा टीमों को खतरों की पहचान करने, भविष्यवाणी करने और परिभाषित करने के लिए कार्रवाई योग्य आउटपुट प्रदान करने के लिए डिज़ाइन किया गया है।

पेशेवर:

• उपयोग में आसान खतरा मॉडलिंग
• प्रति-प्रोजेक्ट आधार पर खतरे वाली लाइब्रेरी को अनुकूलित कर सकते हैं
• JIRA या जेनकिंस जैसे लोकप्रिय टूल के साथ एकीकृत होता है

दोष:

• इंटरफ़ेस कई बार आदिम लग सकता है

इसके अलावा, ThreatModeler संपूर्ण हमले की सतह का एक समग्र दृश्य प्रदान करता है, जिससे उद्यमों को अपने समग्र जोखिम को कम करने में मदद मिलती है।

4. SecuriCAD प्रोफेशनल

SecuriCAD प्रोफेशनल फोरसेटी द्वारा सुरक्षा टीमों को मौजूदा और भविष्य के आईटी बुनियादी ढांचे के आभासी मॉडल डिजाइन करने में सक्षम बनाता है। वर्चुअल मॉडल पर हमले के सिमुलेशन, और शमन परीक्षण, सफल हमले के रास्तों और संभवतः हत्या श्रृंखलाओं के बारे में विस्तृत जानकारी प्रदान करते हैं।

पेशेवर:

• सुरक्षा टीमों को ध्यान में रखकर बनाया गया है
• विभिन्न प्रकार के आक्रमण सिमुलेशन विकल्प प्रदान करता है
• विभिन्न शमन विकल्पों तक पहुँचने का एक सरल लेकिन शक्तिशाली तरीका प्रदान करता है

दोष:

• मध्यम से बड़ी सुरक्षा टीमों के लिए आदर्श

इसके अलावा, उपयोगकर्ता साइबर खतरों को खत्म करने का सबसे प्रभावी तरीका खोजने के लिए securiCAD में तैनात सुरक्षा शमन का वस्तुतः आकलन कर सकते हैं।

5. इरियसरिस्क

Iriusrisk एक खतरा मॉडलिंग उपकरण है जो जोखिम विश्लेषण करता है और जोखिम को संबोधित करने के तरीके पर सिफारिशों के साथ डिजाइन चरण में एक सॉफ्टवेयर एप्लिकेशन का खतरा मॉडल तैयार करता है।

पेशेवर:

• उपयोग में आसान मॉडलिंग उपकरण
• एंटरप्राइज़ संस्करण में बड़ी परियोजनाओं के लिए एपीआई एक्सेस शामिल है
• एक निःशुल्क संस्करण शामिल है

दोष:

• योजना और ख़तरे की मॉडलिंग के लिए बेहतर अनुकूल

यह एक विज़ार्ड-आधारित ड्रैग-एंड-ड्रॉप टूल है जिसका उपयोग आप क्या देखना है इसके बारे में अंतर्दृष्टि के साथ खतरे के मानचित्र तैयार करने के लिए कर सकते हैं।

6. एसडी तत्व

एसडी तत्व सुरक्षा कम्पास द्वारा एक एकीकृत जोखिम मूल्यांकन, सुरक्षित कोडिंग और खतरा मॉडलिंग प्लेटफ़ॉर्म है जो संतुलित विकास स्वचालन (बीडीए) का लाभ उठाते हुए संपूर्ण सुरक्षा प्रक्रिया के स्वचालन की अनुमति देता है। इससे समय और मूल्य को अधिकतम करने में मदद मिलती है।

पेशेवर:

• उन्नत खतरा मॉडलिंग टूल के साथ संयुक्त जोखिम मूल्यांकन उपकरण शामिल है
• कई स्कैन, परीक्षण और मूल्यांकन को स्वचालित कर सकता है
• समय और मूल्य का बेहतरीन मिश्रण प्रदान करता है
• बड़े वातावरण के लिए सर्वोत्तम

दोष:

• सभी विकल्पों और सुविधाओं का पूरी तरह से पता लगाने में समय लग सकता है

7. सुरक्षा

सुरक्षा थ्रेट मॉडलिंग ऑटोमेटर एक STRIDE-समर्थित SaaS-आधारित टूल है जिसे वास्तुशिल्प स्तर पर सुरक्षा को सक्षम करने के लिए डिज़ाइन किया गया है। उनका दृष्टिकोण सरल है: अपने सिस्टम का एक आरेख (इसके एनोटेटेड डेटा के साथ) ड्रा.आईओ, विसिओ, या एक्सेल प्रारूप में अपलोड करें, और यह आपका खतरा मॉडल उत्पन्न करेगा। विकसित खतरा मॉडल तत्वों, डेटा प्रवाह और खतरों की पहचान करेगा और शमन की सिफारिश करेगा।

पेशेवर:

• खतरे के विश्लेषण स्वचालन पर बहुत अधिक ध्यान केंद्रित करता है
• एक अत्यधिक लचीला SaaS उपकरण
• नेटवर्क आरेखों के आधार पर विस्तृत ख़तरा मॉडल तैयार कर सकता है
• स्ट्राइड फ्रेमवर्क का समर्थन करता है

दोष:

• संचालन के लिए उचित स्तर की तकनीकी विशेषज्ञता की आवश्यकता होती है