【きょういもでりんぐ】
脅威モデリング とは？
最終更新:
💡 泥棒の気持ちになって、自分の家の弱点を先に見つけておく作戦
システムの構成やデータの流れ、守る対象を整理し、起こり得る脅威と対策を検討・検証する活動。開発の初期から始め、変更や新しい脅威に応じて見直す。
📌 このページのポイント
ひよこ 脅威モデリングって、何が怖いか想像するってこと？
ペンギン先生 想像だけで終わらせず、構成・データの流れ・守りたいものを整理して、何が起こり得るか、どう対処するか、対策が有効かを考える活動だよ。攻撃者の目線も役立つんだ。
ひよこ STRIDEっていうのをよく聞くけど、何なの？
ペンギン先生 ひよこ 6つもあると覚えるの大変だね…。全部チェックするの？
ペンギン先生 6つの観点を順番に使うと、考える手掛かりになるよ。ただし全部の脅威を必ず見つける保証はない。対象の前提や業務の使われ方も確認して、見つけた脅威の影響と対策を記録するんだ。
ひよこ いつやるのがベストなの？
ペンギン先生 ひよこ STRIDE以外にも脅威モデリングの手法ってあるの？
まとめ：ざっくりこれだけ覚えればOK！
「脅威モデリング」って出てきたら「システムの弱点を攻撃者目線で先回りして見つける手法」と思えればだいたいOK！
📖 おまけ：英語の意味
「Threat Modeling」 ＝ 脅威のモデル化
💬 対象や前提をモデルとして整理し、脅威と対策を分析するという意味だよ。STRIDEはMicrosoftが用いる分類方法の一つで、脅威モデリング全体と同義ではないんだ。