MSの脅威分析ツール最新版はどこまで使える？（2/2 ページ）

[ITmedia]

ロール
　ロールの定義では、ユーザーと、アプリケーションを構成するサービスおよびコンポーネントを記述する。例えば、電子商取引サイトは一般に、登録ユーザー、未登録ユーザー、管理者のユーザーロールと、データベースおよびWebサービスのサービスロールなどを持つ。

データ
　データの定義では、アプリケーションが保存したりアクセスしたりする情報を記述するだけでなく、どのロールがデータの作成、読み取り、更新、削除を許可されているかも記述する。例えば、電子商取引サイトは、商品カタログ、一連の顧客アカウント、クレジットカード情報、注文履歴を管理していると考えられる。どのロールのユーザーも、商品カタログを読むことを許可されているだろうが、情報の作成、更新、削除を許可されているのは管理者だけだろう。

　さらに、データの種類に応じて適用される制約も記述する。例えば、注文を読めるのは、注文を行ったユーザーに限られるのが一般的だ。

　また、データの種類ごとにビジネスインパクトも記述する。ビジネスインパクトは、そのデータの種類に関連する潜在的脅威の重大度で表される。例えば、商品カタログのビジネスインパクトは、クレジットカードデータベースよりも低い。商品カタログへの攻撃がビジネス全体にもたらす被害は、クレジットカードデータベースへの攻撃の場合よりも小さいからだ。

コンポーネント
　コンポーネントの定義では、アプリケーションの実際の実装を記述する。Threat Analysis & Modelingツールはコンポーネントの種類として、シッククライアントアプリケーション、Webサイト、Webサービス、データベースなどをサポートしている。アーキテクトはコンポーネントの種類を指定するとともに、コンポーネントの実装に使われる技術を、.NET Framework 1.1と2.0、SQL Server 2000と2005、Microsoft Message Queuing（MSMQ）とC/C++コードといった選択肢から選んで指定する。Threat Analysis & Modelingツールは、コンポーネントの実装に使われる技術の定義を利用して、攻撃手法ライブラリ内のどの手法が使われる可能性があるかを特定する。

ユースケース
　ユースケースの定義では、ユーザーとアプリケーションがどのようなやり取りを行うか、アプリケーションがどのように機能するかを記述する。例えば、ユーザーが電子商取引サイトに登録する際に、どのようにサイトとやり取りするか、そのやり取りによってどのようにコンポーネントが変更されるか（例えば、どのように顧客データベースに新しいレコードが作成されるか）を記述する。また、ログオンの際にユーザーがWebサイトに情報（ユーザー名とパスワードなど）を送信し、Webサイトがそうした資格情報を、アカウントデータベースから読み込んだ情報と照合して検証するといったことも記述する。

脅威の分析

　アプリケーションのモデルが作成されると、Threat Analysis & Modelingツールはそのモデルを攻撃手法ライブラリと比較する。攻撃手法ライブラリには、バッファオーバーフローの悪用、中間者攻撃、SQLインジェクションといったよく使われる攻撃の手口が多数含まれている。このライブラリは拡張でき、Microsoftは更新版を提供していくが、第三者のセキュリティ専門家の貢献を得て攻撃の定義が充実することも期待している。

　モデルを分析することで、アプリケーションの機密性、完全性、可用性を脅かす可能性のある脅威のリストと、脅威を緩和するために取りうる対策のリストが得られる。例えば、注文を注文データベースに送るWebサイトには潜在的な脅威がある。こうしたサイトはユーザーのクレジットカード番号などの機密情報を持っているためだ。Threat Analysis & Modelingツールは、各種コンポーネントの実装に使われる技術を認識しているため、潜在的な脆弱性と、これらの脆弱性を悪用する可能性がある攻撃、脅威を緩和する対策のリストを提供できる。例えば、SQL ServerにアクセスするWebサイトに関しては、安全な通信チャネルの利用や、両システム間の相互認証など、中間者攻撃を阻止する方法を多数提案する。

Visual Studioとの統合の欠如

　脅威モデルの作成は時間がかかりやすいうえ、Threat Analysis & Modelingツールの最新バージョンがMicrosoftのVisual Studioのモデリングツールと統合されていないことが、さらに厄介な状況をもたらす。つまり、Visual Studioを使用するITアーキテクトは、アプリケーションのモデルを2つ（Visual StudioとThreat Analysis & Modelingツールで1つずつ）作成するハメになり、モデルの対象アプリケーションに変更が加えられるたびに、脅威モデルを変更するようにしなければならない。

　Microsoftは、Threat Analysis & Modelingツールの将来のバージョンで、Visual Studioベースのモデルをインポートし、一連の対策項目をVisual Studioのワークアイテムトラッキングシステムにエクスポートできるようにすることで、この状況を改善しようとしている。だが、こうした統合が実現されるまでは、IT部門は、Threat Analysis & Modelingツールのメリットが、モデルを二重に作成、保守する労力に見合うかどうかを判断しなければならない。