hacktricks/generic-methodologies-and-resources/threat-modeling.md

Kupanga Tishio

WhiteIntel

WhiteIntel ni injini ya utaftaji inayotumia dark-web ambayo inatoa huduma za bure za kuangalia ikiwa kampuni au wateja wake wameathiriwa na malwares za wizi.

Lengo kuu la WhiteIntel ni kupambana na utekaji wa akaunti na mashambulio ya ransomware yanayotokana na malwares za wizi wa habari.

Unaweza kutembelea tovuti yao na kujaribu injini yao bure kwa:

{% embed url="https://whiteintel.io" %}

---

Kupanga Tishio

Karibu kwenye mwongozo kamili wa HackTricks kuhusu Kupanga Tishio! Anza safari ya kuchunguza sehemu hii muhimu ya usalama wa mtandao, ambapo tunatambua, kuelewa, na kutengeneza mkakati dhidi ya udhaifu wa uwezekano katika mfumo. Mfululizo huu ni mwongozo hatua kwa hatua uliojaa mifano halisi, programu za kusaidia, na maelezo rahisi kueleweka. Ideal kwa wote wapya na wataalamu wenye uzoefu wanaotaka kuimarisha ulinzi wao wa usalama wa mtandao.

Matukio Yanayotumiwa Mara kwa Mara

1. Maendeleo ya Programu: Kama sehemu ya Mzunguko wa Maendeleo Salama wa Programu (SSDLC), kupanga tishio husaidia katika ** kutambua vyanzo vya uwezekano wa udhaifu ** katika hatua za mwanzo za maendeleo.
2. Upimaji wa Kuingilia: Mfumo wa Utekelezaji wa Upimaji wa Kuingilia (PTES) unahitaji kupanga tishio kuelewa udhaifu wa mfumo kabla ya kufanya jaribio.

Kupanga Tishio kwa Kifupi

Kupanga Tishio kawaida hupewa kama ramani, picha, au aina nyingine ya mchoro wa kuonyesha usanidi uliopangwa au ujenzi uliopo wa programu. Inafanana na mchoro wa mtiririko wa data, lakini tofauti kuu iko katika muundo wake unaolenga usalama.

Mifano ya tishio mara nyingi huonyesha vipengele vilivyowekwa kwa rangi nyekundu, ikisymbolisha udhaifu, hatari, au vizuizi. Ili kusonga mchakato wa kutambua hatari, triadi ya CIA (Usiri, Uadilifu, Upatikanaji) hutumiwa, ikifanya msingi wa mbinu nyingi za kupanga tishio, na STRIDE ikiwa moja ya kawaida zaidi. Walakini, mbinu iliyochaguliwa inaweza kutofautiana kulingana na muktadha na mahitaji maalum.

Triadi ya CIA

Triadi ya CIA ni mfano unaotambuliwa sana katika uga wa usalama wa habari, ikimaanisha Usiri, Uadilifu, na Upatikanaji. Nguzo hizi tatu hufanya msingi ambao hatua nyingi za usalama na sera zinajengwa, pamoja na mbinu za kupanga tishio.

1. Usiri: Kuhakikisha kuwa data au mfumo haufikiwi na watu wasiohalali. Hii ni sehemu muhimu ya usalama, inahitaji udhibiti sahihi wa ufikiaji, encryption, na hatua zingine za kuzuia uvujaji wa data.
2. Uadilifu: Uaminifu, uadilifu, na uaminifu wa data wakati wa mzunguko wake wa maisha. Kanuni hii inahakikisha kuwa data haibadilishwi au kuharibiwa na vyama visivyoruhusiwa. Mara nyingi inahusisha checksums, hashing, na njia zingine za uthibitisho wa data.
3. Upatikanaji: Hii inahakikisha kuwa data na huduma zinapatikana kwa watumiaji walioruhusiwa wanapohitajika. Mara nyingi inahusisha redundancy, uvumilivu wa makosa, na mipangilio ya upatikanaji wa juu ili kuhakikisha mifumo inaendelea hata katika kipindi cha vurugu.

Mbinu za Kupanga Tishio

1. STRIDE: Iliyoundwa na Microsoft, STRIDE ni kifupisho cha Kujifanya, Kuharibu, Kukataa, Kufichua Habari, Kukataa Huduma, na Kuinua Uwezo. Kila jamii inawakilisha aina ya tishio, na mbinu hii mara nyingi hutumiwa katika hatua ya kubuni ya programu au mfumo kutambua tishio la uwezekano.
2. DREAD: Hii ni mbinu nyingine kutoka Microsoft inayotumika kwa tathmini ya hatari ya tishio lililotambuliwa. DREAD inasimama kwa Uharibifu wa Uwezo, Uwezekano wa Kurudia, Uwezekano wa Kutumika, Watumiaji Wanaoathiriwa, na Ugunduzi. Kila moja ya vipengele hivi hupewa alama, na matokeo hutumiwa kuweka kipaumbele kwa tishio lililotambuliwa.
3. PASTA (Mchakato wa Ukweli wa Mashambulizi na Uchambuzi wa Tishio): Hii ni mbinu ya hatua saba, yenye msingi wa hatari. Inajumuisha kufafanua na kutambua malengo ya usalama, kuunda wigo wa kiufundi, uchambuzi wa tishio, uchambuzi wa udhaifu, na tathmini ya hatari/utaratibu.
4. Trike: Hii ni mbinu inayolenga hatari ambayo inazingatia kulinda mali. Inaanza kutoka mtazamo wa usimamizi wa hatari na kutazama tishio na udhaifu katika muktadha huo.
5. VAST (Kupanga Tishio kwa njia ya Visual, Agile, na Rahisi): Mbinu hii inalenga kuwa rahisi kufikika na kuingiliana katika mazingira ya maendeleo ya Agile. Inachanganya vipengele kutoka kwa mbinu zingine na inazingatia uwakilishi wa visual wa tishio.
6. OCTAVE (Tathmini ya Tishio, Mali, na Udhaifu wa Kitaalam): Iliyoundwa na Kituo cha Ushauri wa CERT, mfumo huu unalenga kwa tathmini ya hatari ya shirika badala ya mifumo au programu maalum.

Zana

Kuna zana na suluhisho za programu kadhaa zinazopatikana ambazo zinaweza kusaidia katika uundaji na usimamizi wa mifano ya tishio. Hapa kuna chache unazoweza kuzingatia.

SpiderSuite

Injini ya wavuti ya msalaba ya juu na GUI yenye vipengele vingi kwa wataalamu wa usalama wa mtandao. Spider Suite inaweza kutumika kwa ramani na uchambuzi wa eneo la mashambulizi.

Matumizi

1. Chagua URL na Fanya Utafutaji

2. Angalia Grafu

OWASP Threat Dragon

Mradi wa chanzo wazi kutoka OWASP, Threat Dragon ni programu ya wavuti na desktop ambayo inajumuisha kutengeneza michoro ya mfumo pamoja na injini ya sheria ya kuzalisha moja kwa moja tishio/mitigations.

Matumizi

1. Unda Mradi Mpya

Wakati mwingine inaweza kuonekana kama hivi:

2. Anzisha Mradi Mpya

3. Hifadhi Mradi Mpya

4. Unda mfano wako

Unaweza kutumia zana kama SpiderSuite Crawler kukupa msukumo, mfano wa msingi ungeonekana kama hivi

Kidogo kuhusu maelezo ya vitu:

• Mchakato (Entiti yenyewe kama Seva ya Wavuti au utendaji wa wavuti)
• Mwigizaji (Mtu kama Mtembeleaji wa Wavuti, Mtumiaji au Msimamizi)
• Mstari wa Mzunguko wa Data (Kiashiria cha Mwingiliano)
• Mpaka wa Uaminifu (Maeneo tofauti ya mtandao au mizunguko.)
• Hifadhi (Vitu ambapo data zimehifadhiwa kama vile Databases)

5. Unda Tishio (Hatua 1)

Kwanza unapaswa kuchagua safu unayotaka kuongeza tishio

Sasa unaweza kuunda tishio

Kumbuka kuna tofauti kati ya Tishio la Mwigizaji na Tishio la Mchakato. Ikiwa ungeongeza tishio kwa Mwigizaji basi utaweza kuchagua tu "Kujifanya" na "Kukataa". Walakini katika mfano wetu tunachagua tishio kwa entiti ya Mchakato kwa hivyo tutauona huu katika sanduku la uundaji wa tishio:

6. Maliza

Sasa mfano wako uliomalizika unapaswa kuonekana kama hivi. Na hivi ndivyo unavyounda mfano rahisi wa tishio na OWASP Threat Dragon.

### [Chombo cha Microsoft Threat Modeling](https://aka.ms/threatmodelingtool)

Hii ni chombo cha bure kutoka Microsoft kinachosaidia katika kutambua vitisho katika hatua ya kubuni ya miradi ya programu. Hutumia mbinu ya STRIDE na ni hasa inafaa kwa wale wanaoendeleza kwenye mfumo wa Microsoft.

WhiteIntel

WhiteIntel ni injini ya utaftaji inayotumia dark-web ambayo inatoa huduma za bure za kuangalia ikiwa kampuni au wateja wake wameathiriwa na malwares za wizi.

Lengo kuu la WhiteIntel ni kupambana na utekaji wa akaunti na mashambulio ya ransomware yanayotokana na programu hasidi za wizi wa habari.

Unaweza kutembelea tovuti yao na kujaribu injini yao bure kwa:

{% embed url="https://whiteintel.io" %}