نموذج التهديد

نمذجة التهديدات هي عملية يتم من خلالها تحديد التهديدات المحتملة، مثل نقاط الضعف الهيكلية أو غياب الضمانات المناسبة، وحصرها، وترتيب أولويات التدابير المضادة. ^{[ 1 ]} يهدف نمذجة التهديدات إلى تزويد المدافعين بتحليل منهجي للضوابط أو وسائل الدفاع اللازمة، مع الأخذ في الاعتبار طبيعة النظام، وخصائص المهاجم المحتمل، وأكثر أساليب الهجوم ترجيحًا، والأصول الأكثر استهدافًا من قِبل المهاجم. تجيب نمذجة التهديدات على أسئلة مثل: "أين أكون أكثر عرضة للهجوم؟" ، و "ما هي التهديدات الأكثر أهمية؟" ، و "ما الذي يجب عليّ فعله للحماية من هذه التهديدات؟" .

من الناحية النظرية، يُدمج معظم الناس شكلاً من أشكال نمذجة المخاطر في حياتهم اليومية دون أن يدركوا ذلك. يستخدم المسافرون نمذجة المخاطر للتفكير في ما قد يحدث من مشاكل خلال رحلتهم الصباحية إلى العمل، ولاتخاذ إجراءات استباقية لتجنب الحوادث المحتملة. كما يستخدمها الأطفال عند تحديد أفضل مسار نحو هدفهم المنشود مع تجنب المتنمرين في الملعب. وبمعنى أدق، استُخدمت نمذجة المخاطر لتحديد أولويات الاستعدادات الدفاعية العسكرية منذ القدم.

بعد فترة وجيزة من ظهور الحوسبة المشتركة في أوائل الستينيات، بدأ الأفراد في البحث عن طرق لاستغلال الثغرات الأمنية لتحقيق مكاسب شخصية. ^{[ 2 ]} ونتيجة لذلك، بدأ المهندسون وعلماء الحاسوب في تطوير مفاهيم نمذجة التهديدات لأنظمة تكنولوجيا المعلومات.

استندت منهجيات نمذجة التهديدات المبكرة التي تركز على التكنولوجيا إلى مفهوم الأنماط المعمارية ^{[ 3 ]} الذي قدمه كريستوفر ألكسندر لأول مرة في عام 1977. وفي عام 1988، قام روبرت بارنارد بتطوير وتطبيق أول ملف تعريف لمهاجم نظام تكنولوجيا المعلومات بنجاح.

في عام 1994، طرح إدوارد أموروسو مفهوم "شجرة التهديدات" في كتابه "أساسيات تكنولوجيا أمن الحاسوب ". ^{[ 4 ]} ويستند مفهوم شجرة التهديدات إلى مخططات شجرة القرار. وتمثل أشجار التهديدات بيانياً كيفية استغلال تهديد محتمل لنظام تكنولوجيا المعلومات.

بشكل مستقل، أجرت وكالة الأمن القومي (NSA) ووكالة مشاريع الأبحاث الدفاعية المتقدمة (DARPA) أعمالًا مماثلة حول تمثيل بياني منظم لكيفية تنفيذ هجمات محددة ضد أنظمة تكنولوجيا المعلومات. وقد أُطلق على التمثيل الناتج اسم " أشجار الهجوم ". في عام 1998، نشر بروس شناير تحليله للمخاطر السيبرانية باستخدام أشجار الهجوم في بحثه بعنوان "نحو منهجية هندسة أنظمة آمنة". ^{[ 5 ]} وقد أثبت هذا البحث أنه إسهامٌ رائد في تطور نمذجة التهديدات لأنظمة تكنولوجيا المعلومات. في تحليل شناير، يُمثَّل هدف المهاجم بـ"عقدة جذرية"، بينما تُمثَّل الوسائل المحتملة لتحقيق هذا الهدف بـ"عقد طرفية". وقد مكّن استخدام شجرة الهجوم بهذه الطريقة متخصصي الأمن السيبراني من دراسة مسارات الهجوم المتعددة ضد أي هدف محدد بشكل منهجي.

في عام ١٩٩٩، طوّر لورين كونفيلدر وبرايريت غارغ، وهما متخصصان في الأمن السيبراني لدى مايكروسوفت، نموذجًا لدراسة الهجمات المتعلقة ببيئة تطوير مايكروسوفت ويندوز . ( يُشير اختصار STRIDE ^{[ ١ ]} إلى: انتحال الهوية، والتلاعب بالبيانات، والإنكار، وكشف المعلومات، وحجب الخدمة، ورفع الامتيازات). يُساعد هذا الاختصار المتخصصين في الأمن على تحديد كيفية استغلال المهاجم المحتمل لأي تهديد مُدرج في STRIDE بشكل منهجي.

في عام 2003، تم تقديم طريقة OCTAVE ^{[ 6 ]} (تقييم التهديدات والأصول ونقاط الضعف الحرجة تشغيليًا)، وهي منهجية نمذجة التهديدات التي تركز على العمليات، مع التركيز على إدارة المخاطر التنظيمية.

في عام 2004، قام فرانك سويدرسكي وويندو سنايدر بتأليف كتاب "نمذجة التهديدات"، الذي نشرته دار نشر مايكروسوفت . وقد طورا فيه مفهوم استخدام نماذج التهديدات لإنشاء تطبيقات آمنة. ^{[ 7 ]}

في عام ٢٠١٤، طرح رايان ستيليونز فكرة ضرورة التعبير عن التهديدات السيبرانية بمستويات دلالية مختلفة، واقترح نموذج DML (مستوى نضج الكشف). ^{[ ٨ ]} الهجوم هو تجسيد لسيناريو تهديد ينفذه مهاجم محدد بهدف معين واستراتيجية لتحقيقه. يمثل الهدف والاستراتيجية أعلى المستويات الدلالية في نموذج DML. يلي ذلك التكتيكات والتقنيات والإجراءات (TTP) التي تمثل مستويات دلالية متوسطة. أما أدنى المستويات الدلالية في نموذج DML فهي الأدوات التي يستخدمها المهاجم، والمضيف، ومخرجات الشبكة المرصودة مثل الحزم والحمولات، وأخيرًا المؤشرات الأساسية مثل عناوين IP في أدنى مستوى دلالي. عادةً ما توفر أدوات SIEM ( إدارة معلومات وأحداث الأمان ) الحالية مؤشرات في أدنى المستويات الدلالية فقط. لذلك، ثمة حاجة لتطوير أدوات SIEM قادرة على توفير مؤشرات التهديد في مستويات دلالية أعلى. ^{[ ٩ ]}

بيان نمذجة التهديدات هو وثيقة نشرتها جهات متخصصة في نمذجة التهديدات عام 2020 بهدف توضيح القيم والمبادئ الأساسية التي ينبغي على كل متخصص في نمذجة التهديدات معرفتها واتباعها. ^{[ 10 ]}

في عام 2024، قامت نفس المجموعة من المؤلفين بمتابعة البيان بوثيقة قدرات نمذجة التهديدات، والتي "...تقدم قائمة بالقدرات لمساعدتك على تنمية القيمة من ممارسة نمذجة التهديدات الخاصة بك". ^{[ 11 ]}

من الناحية النظرية، تنبثق ممارسة نمذجة التهديدات من منهجية محددة. وتتوفر العديد من منهجيات نمذجة التهديدات للتطبيق. عادةً ما تُطبَّق نمذجة التهديدات باستخدام أحد خمسة مناهج مستقلة: المنهج المرتكز على الأصول، والمنهج المرتكز على المهاجم، والمنهج المرتكز على البرمجيات، والمنهج المرتكز على القيمة وأصحاب المصلحة، والمنهج الهجين. وبناءً على حجم المحتوى المنشور على الإنترنت، تُعدّ المنهجيات المذكورة أدناه الأكثر شهرة.

تبدأ جميع عمليات نمذجة التهديدات المتعلقة بتقنية المعلومات بإنشاء تمثيل مرئي للتطبيق أو البنية التحتية أو كليهما قيد التحليل. يُقسّم التطبيق أو البنية التحتية إلى عناصر مختلفة لتسهيل التحليل. بعد اكتمال التمثيل المرئي، يُستخدم لتحديد التهديدات المحتملة وحصرها. يعتمد التحليل الإضافي للنموذج، فيما يتعلق بالمخاطر المرتبطة بالتهديدات المحددة، وترتيب أولويات التهديدات، وحصر ضوابط التخفيف المناسبة، على الأساس المنهجي لعملية نمذجة التهديدات المستخدمة. يمكن أن تركز مناهج نمذجة التهديدات على النظام قيد الاستخدام، أو المهاجمين، أو الأصول.

تمثيلات مرئية تستند إلى مخططات تدفق البيانات

تستخدم معظم مناهج نمذجة التهديدات مخططات تدفق البيانات (DFD). طُوّرت هذه المخططات في سبعينيات القرن الماضي كأداة لمهندسي الأنظمة لتوضيح كيفية تدفق البيانات وتخزينها ومعالجتها بواسطة البنية التحتية التي يعمل عليها التطبيق، وذلك على مستوى عالٍ. تقليديًا، تستخدم مخططات تدفق البيانات أربعة رموز مميزة فقط: تدفقات البيانات، ومخازن البيانات، والعمليات، والمتفاعلات. في أوائل العقد الأول من القرن الحادي والعشرين، أُضيف رمز إضافي، وهو حدود الثقة، لتحسين فائدة مخططات تدفق البيانات في نمذجة التهديدات.

بعد تحليل نظام البنية التحتية للتطبيقات إلى عناصره الخمسة، يقوم خبراء الأمن بدراسة كل نقطة دخول محتملة للتهديدات في ضوء جميع فئات التهديدات المعروفة. وبمجرد تحديد التهديدات المحتملة، يمكن حصر إجراءات الحماية الأمنية أو إجراء تحليلات إضافية.

• تعتمد أداة نمذجة التهديدات المجانية من مايكروسوفت (المعروفة سابقًا باسم أداة نمذجة التهديدات SDL)، ^{[ 19 ]} والتي تستخدم أيضًا منهجية نمذجة التهديدات الخاصة بمايكروسوفت، على مخطط تدفق البيانات (DFD) وتحدد التهديدات بناءً على نظام تصنيف التهديدات STRIDE. وهي مخصصة بشكل أساسي للاستخدام العام.
• توفر IriusRisk إصدارين من الأداة: إصدار مجتمعي وإصدار تجاري. تركز هذه الأداة على إنشاء نموذج تهديدات حيّ وصيانته طوال دورة حياة تطوير البرمجيات (SDLC) . وتُدير العملية باستخدام استبيانات ومكتبات نماذج مخاطر قابلة للتخصيص بالكامل، كما تتصل بالعديد من الأدوات الأخرى ( OWASP ZAP، BDD-Security، Threadfix) لتمكين الأتمتة. ^{[ 20 ]}
• securiCAD هي أداة لنمذجة التهديدات وإدارة المخاطر من شركة foreseeti الإسكندنافية. ^{[ 21 ]} وهي مصممة لإدارة الأمن السيبراني للمؤسسات، بدءًا من مسؤول أمن المعلومات وصولًا إلى مهندس الأمن، بما في ذلك الفنيين. تُجري securiCAD محاكاة آلية للهجمات على بنى تكنولوجيا المعلومات الحالية والمستقبلية، وتُحدد المخاطر وتُقيسها كميًا على مستوى العالم، بما في ذلك الثغرات الهيكلية، وتُقدم دعمًا لاتخاذ القرارات بناءً على النتائج. تتوفر securiCAD بإصدارات تجارية ومجتمعية. ^{[ 22 ]}
• يُعدّ SD Elements من Security Compass منصةً لإدارة متطلبات أمان البرمجيات ، تتضمن إمكانيات نمذجة التهديدات الآلية. يتم توليد مجموعة من التهديدات من خلال ملء استبيان قصير حول التفاصيل التقنية للتطبيق وعوامل الامتثال. وتُدرج التدابير المضادة على شكل مهام قابلة للتنفيذ للمطورين، يمكن تتبعها وإدارتها عبر دورة حياة تطوير البرمجيات. ^{[ 23 ]}
• أداة OWASP Threat Dragon هي أداة نمذجة تُستخدم لإنشاء مخططات نماذج التهديدات كجزء من دورة حياة التطوير الآمن. تلتزم Threat Dragon بقيم ومبادئ بيان نمذجة التهديدات. يمكن استخدامها لتسجيل التهديدات المحتملة وتحديد سبل التخفيف منها، بالإضافة إلى توفير مؤشر مرئي لمكونات نموذج التهديد وأسطح التهديد. تعمل Threat Dragon كتطبيق ويب أو كتطبيق سطح مكتب. تدعم Threat Dragon معايير STRIDE و LINDDUN و CIA و DIE و PLOT4ai، وتوفر مخططات نمذجة، وتُفعّل محرك قواعد لتوليد التهديدات وسبل التخفيف منها تلقائيًا. ^{[ 24 ]}
• OWASP pytm هو إطار عمل مكتوب بلغة بايثون لنمذجة التهديدات، وهو أول أداة لنمذجة التهديدات كبرنامج: يُعرَّف النظام أولاً بلغة بايثون باستخدام العناصر والخصائص الموضحة في إطار عمل pytm. بناءً على هذا التعريف، يستطيع pytm إنشاء مخطط تدفق البيانات (DFD)، ومخطط التسلسل ، والأهم من ذلك كله، التهديدات التي تواجه النظام. ^{[ 25 ]}

لا يقتصر تطبيق نمذجة التهديدات على تكنولوجيا المعلومات فحسب، بل يشمل أيضًا مجالات أخرى مثل المركبات ^{[ 26 ] [ 27 ]} وأتمتة المباني والمنازل ^{[ 28 ]} . في هذا السياق، تُنمذج التهديدات الأمنية وتهديدات الخصوصية، مثل المعلومات المتعلقة بأنماط حركة السكان وأوقات عملهم وحالاتهم الصحية، بالإضافة إلى الهجمات المادية أو الإلكترونية. ويمكن لهذه الهجمات الأخيرة أن تستغل المزيد من ميزات المباني الذكية المتاحة، كأجهزة الاستشعار (مثلاً للتجسس على السكان) والمحركات (مثلاً لفتح الأبواب) ^{[ 28 ] .}