In diesem Artikel lernst du, wie du Threat Modeling für dein Risikomanagement nutzen und so den Verlust oder den Leak von internen Daten verhindern kannst. Wir gehen auf 3 verschiedene Perspektiven ein und erklären, welche Vorteile sie dir bieten. Außerdem erfährst du, wie Penetration Testing und Red Teaming mit Threat Modeling zusammen hängen.
(Letztes Update: 25.01.2024)
Threat Modeling ist ein Teilbereich des Risikomanagements. Dieser Prozess ist niemals abgeschlossen, sondern muss kontinuierlich wiederholt werden. Das Ziel ist es, potenzielle und reale Schwachstellen, Angriffsvektoren und Lücken in der Verteidigung zu identifizieren.
Basierend auf den Ergebnissen können Unternehmen und Organisationen entsprechende Gegenmaßnahmen treffen, um das Ausnutzen der identifizierten Angriffsvektoren zu verhindern. Threat Modeling spielt daher auch bei Themen wie Data Loss Prevention und Data Leakage Prevention eine bedeutende Rolle.
Beim Threat Modeling geht es grundsätzlich um die Identifizierung von möglichen Schwachstellen beim Schutz eines Netzwerks. Dabei gibt es drei verschiedene Perspektiven, aus denen man diese Identifizierung vornehmen kann:
Bei der Perspektive eines Angreifers stellt man sich folgende Fragen: Welche Möglichkeiten könnte er finden, um an Unternehmensdaten oder Unternehmensgeräte zu kommen? Wie könnte er sich im Netzwerk ausbreiten (Lateral Movement)? Könnte er all dies unbemerkt durchführen? Wie könnten seine nächsten Schritte aussehen?
Ein solches Szenario hängt ebenso von den Fähigkeiten und Zielen des Angreifers ab wie von der Position, von der aus er angreift (von außen, aus dem Internet, von innen oder aus einem benachbarten Netzwerk). Diese Parameter werden bei einem umfassenden Threat Modeling aus Angreifer-Perspektive in allen Varianten durchgespielt.
Diese Variante kommt der Realität in vielerlei Hinsicht am nächsten. Sie kommt beispielsweise bei Penetrationstests und Red Teaming zum Einsatz.
Eine andere Sicht ist jene des Administrators oder IT-Consultants. Wenn du dich in dieser Position befindest, verfügst du über umfangreiches Wissen zur eigenen Infrastruktur: Du weißt, welche Geräte sich in deinem Unternehmen befinden. Du kennst deinen Datenbankserver, deine Router und Switche, die Mail- und Fileserver. Du weißt, wer worauf Zugriff braucht, aus welchen Geräten sich das Netz (oder die Subnetze) zusammensetzt und wie diese miteinander verbunden sind. Außerdem weißt du, welche Daten sich wo befinden.
In dieser Form des Threat Modeling konzentrierst du dich nacheinander auf die einzelnen Elemente deiner Infrastruktur. Dabei prüfst du, von welchen Schwachstellen sie individuell betroffen sind. Nach deren Ermittlung setzt du entsprechende Gegen- und Schutzmaßnahmen um.
Die dritte Sicht des Threat Modeling konzentriert sich auf die Assets eines Unternehmens. Dazu zählen kritische Informationen, Daten sowie Maschinen und deren Aufenthaltsort. Darauf aufbauend erarbeitet man das Profil eines möglichen Angreifers. Man stellt sich die Fragen, was seine Motivation sein könnte, wie wertvoll diese Assets für ihn wären und wie viel Aufwand er betreiben müsste, um an diese Assets zu kommen. Es handelt sich also ebenfalls um Threat Modeling aus der Angreifer-Perspektive, aber mit besonderem Fokus auf die anzugreifenden Assets.
Für Unternehmen ist es sinnvoll, nicht nur einen Ansatz des Threat Modeling zu wählen. Idealerweise nutzt du alle drei Perspektiven, um ein möglichst umfassendes Bild deiner Sicherheit zu bekommen. Denn in der Realität gilt: Je schwerer du es Angreifern machst, an ihr Ziel zu kommen, desto wahrscheinlicher werden sie sich andere, einfachere Ziele suchen.
Es ist dabei nicht nur wichtig, einen realen Angriff abwehren zu können. Im ersten Schritt ist entscheidend, dass du Angriffe überhaupt erkennen kannst. Egal wie widerstandsfähig eine IT-Infrastruktur auch wirken mag, so kann man niemals mit absoluter Gewissheit die Möglichkeit einer Kompromittierung ausschließen. Es ist immer besser, IoAs (Indicator of Attacks) als IoCs (Indicator of Compromise) zu finden.
