【すとらいどもでる】
STRIDEモデル とは？
💡 6つの視点でシステムの弱点を洗い出す脅威分析の定番
📌 このページのポイント
- 6つの脅威カテゴリの頭文字をとってSTRIDE
- 設計段階でセキュリティリスクを体系的に洗い出せる
- データフローダイアグラムと組み合わせて使うのが基本
- Microsoftが開発し、業界標準の脅威モデリング手法になっている
ひよこ STRIDEモデルって、何に使うの？
ひよこ 6つのカテゴリって具体的に何なの？
ペンギン先生 Spoofing（なりすまし）、Tampering（改ざん）、Repudiation（否認）、Information Disclosure（情報漏洩）、Denial of Service（サービス拒否）、Elevation of Privilege（権限昇格）の6つだよ
ひよこ どうやって使うのかな？
ペンギン先生 まずシステムのデータフローダイアグラムを描いて、各コンポーネントやデータの流れに対して6つのカテゴリの脅威がないか1つずつ確認していくんだ。たとえばログイン機能なら、なりすまし（S）の脅威が高いとかね
ひよこ 開発の早い段階でやるのが大事なんだよね？
ペンギン先生 そうだよ。設計段階で脅威を洗い出せば、コードを書く前に対策を設計に組み込めるからね。後から直すよりコストが何十倍も安いんだ。セキュアSDLCの重要なステップとして広く採用されているよ
📖 おまけ：英語の意味
「STRIDE Threat Model」 ＝ STRIDE脅威モデル
💬 6つの脅威の頭文字を並べるとSTRIDE（大股で歩く）になる語呂合わせだよ