نموذج التهديد
في هذه الوثيقة
إصدار الإطار: 2.0.0-draft.1. الحالة: مقترح بحثي.
الغاية والنطاق
يصف نموذج التهديد هذا كيف يمكن لنظامٍ ذكي أن يفقد خاصيةً أمنية محددة، إما بفعل تأثيرٍ عدائي، وإما بسبب إخفاقٍ ذي صلة بالأمن دون وجود خصم. ووحدة التحليل فيه النظامُ المنشور أو المقترح في ظل افتراضاتٍ صريحة. وقد تشمل هذه الوحدة النماذجَ، والبرمجياتِ التقليدية، وخدماتِ البيانات، والمستشعراتِ، والحالةَ المحتفَظ بها، والأدواتِ، والمشغّلين، والأشخاصَ المتأثرين، والمؤسساتِ المتفاعلة. ولا تكون نقطةُ نهاية النموذج وحدها حدًّا كافيًا إلا حين يكون الادعاء ضيقًا بالقدر نفسه.
وتُطبَّق المنهجية بحسب الوظيفة. فقد يُسهم في النظام قيد الفحص توليدُ اللغة، والتنبؤُ الإحصائي، والاستدلالُ الرمزي، والتكيّفُ في أثناء التشغيل، والتخطيطُ، والإدراكُ، والتشغيلُ المادي. ولا تُثبت واجهةٌ بعينها أو عائلةُ نماذج بعينها التغطيةَ. فقد يشمل تقييمُ خدمةٍ نصية مشاهدةَ بيئةٍ رقمية؛ ويجب أن يشمل تقييمُ روبوتٍ ضوابطَ الوصول التقليدية إلى جانب المشاهدة والفعل الماديين.
والناتج نموذجُ تهديدٍ قابل للمراجعة يربط بين المصالح المحمية، والمكوّنات الفعلية، والسلطة، والتأثير الممكن، والعقود التي أخفقت، والأثر. وهو أداةٌ لتوليد الفرضيات، لا دليلٌ على وجود كل تهديد أو على أن تنفيذًا ما مصابٌ بثغرة. وتحدد «منهجية التقييم» كيفية اختبار الفرضيات. وتقدّم «الملفات التعريفية للأنظمة» قيودًا مرشّحة خاصة بسياقات النشر؛ وتعرّف «الطبقات الأمنية» المجالاتِ التحليلية المستخدمة في وصفها.
تحديد حدود النظام
يُبدأ بوصفٍ مؤرَّخ للمهمة المقصودة وللأطراف التي يحمي التقييم مصالحها. ويُسجَّل النشر، والتهيئة، والفترة التشغيلية، ومراحل دورة الحياة المشمولة. ويُبيَّن ما إذا كان التقويم يشمل إعداد النموذج، أو جمع البيانات، أو التدريب، أو التحديثات، أو النشر، أو التشغيل، أو الإخراج من الخدمة، أو جزءًا منها فقط. فتقييم بيئة التشغيل لا يثبت أن منشأ بيانات التدريب جديرٌ بالثقة.
ويُرسم رسمٌ بياني للمكوّنات الفعلية والبشر والخدمات والموارد المشتركة، وتُسند إلى العقد والعلاقات معرّفاتٌ محلية ثابتة. وتُدرج الخدمات التي تشغّلها جهاتٌ خارجية متى اعتمد النظام على مخرجاتها أو توافرها، حتى لو تعذّر الوصول إلى تنفيذها الداخلي. ويُوسم هذا التنفيذ الداخلي بأنه تبعياتٌ لم تُقيَّم. وينبغي أن تظهر البنية التحتية المشتركة عقدةً مشتركة واحدة، لا نسخًا متعددة مستقلة استقلالًا وهميًا.
وتُصنَّف العلاقات بحسب نوعها إلى: مشاهدة، أو معلومات، أو تعليمات، أو تفويض سلطة، أو فعل، أو مزامنة حالة، أو تغذية راجعة، أو اعتماد على مورد. ويُسجَّل الاتجاه، والمحتوى، والهوية المعنية، والتحقق، وسلوك الإخفاق. وقد يكون للعلاقة الواحدة عدة أنواع، لكن الرسالة لا تمنح السلطة تلقائيًا. فالوكيلان اللذان يتبادلان الوقائع يحتاجان إلى عقدٍ للمعلومات؛ أما المشرف الذي يُسند قدرةً محدودة فيحتاج أيضًا إلى عقدٍ للتفويض.
ويُميَّز بين حدود التقويم وحدود العواقب. فقد تكون أداةٌ ما مجرد بديلٍ اختباري، بينما يطال الفعلُ المقابل في بيئة الإنتاج مؤسسةً أخرى. ويجب أن يصف التقييم هذا الفارق، ولا يجوز له أن يدّعي ضررًا إنتاجيًا مرصودًا انطلاقًا من فعلٍ محاكًى. ويمكن أن تبقى التبعيات الواقعة خارج نطاق الوصول افتراضاتٍ صريحة؛ لكن يجب ألا تختفي من نموذج التهديد لمجرد صعوبة فحصها.
المصالح المحمية والعقود
لا تصبح تسميةُ الخاصية قابلةً للاختبار إلا من خلال عقد. فلكل كائنٍ أو وظيفةٍ أو علاقةٍ محمية مهمة، يُحدَّد المالكُ المسؤول، والعملياتُ المصرَّح بها، والانتقالاتُ المحظورة، والافتراضاتُ، وطريقةُ المشاهدة، والاستجابةُ لعدم اليقين. وتُستخدم المعرّفات الثابتة P01–P23 الواردة في «الخصائص الأمنية» و«الإصدارات والمعرّفات». وقد تدعم عدة خصائص عقدًا واحدًا، وقد تنطبق خاصيةٌ واحدة على عدة مكوّنات.
فعلى سبيل المثال، يمكن أن تدعم P16 «سلامة التفويض» عقدًا يقضي بأن تبقى العملية المفوَّضة ضمن سلطة مُصدِرٍ موثَّق الهوية، ونطاقِ مواردَ مسمّى، ومجموعةِ عملياتٍ مسموح بها، وأجلِ صلاحية. وينبغي أن ينص العقد أيضًا على ما إذا كان التفويض قابلًا للنقل، وعلى كيفية التحقق من الإلغاء. ولا تكفي كلمة «موثوق» دون هذه الشروط.
ومن المصالح المحمية ذات الصلة: سريةُ السجلات، وتوافرُ الخدمات الأساسية، وسلامةُ الآثار البرمجية للنماذج، وأولويةُ التعليمات، ومنشأُ الأدلة، واستمراريةُ الحالة المحتفَظ بها، والأهدافُ المصرَّح بها، والخططُ والأفعال المحدودة، والترخيصُ البشري المستنير، والحدودُ الجماعية للموارد. وتُسجَّل التعارضات بدلًا من افتراض إمكان تعظيم جميع الخصائص معًا في كل حال. فالإجراء الذي يستعيد التوافر قد يغيّر الحالة المحتفَظ بها؛ والمفاضلة المسموح بها تتطلب قاعدةً مصرَّحًا بها.
ويجب أن يكون للسلطة مصدرٌ خارج المحتوى المتنازع عليه. فيُحدَّد من يستطيع وضعَ كل هدفٍ وإذن، أو تغييرَه، أو تفويضَه، أو إلغاءَه. والتحقق من الهوية يثبت هويةً مدّعاة وفق آليةٍ معينة؛ لكنه لا يثبت بحد ذاته أن كل فعلٍ مطلوب مسموحٌ به. فقد يتجاوز طلبُ مستخدمٍ مشروع حدودَ حقوقه. وكذلك فإن صلةَ المحتوى بالمهمة، أو فصاحتَه، أو بروزَه بين نتائج الاسترجاع لا تمنحه سلطةَ التعليمات.
الفاعلون ومصادر التأثير
تساعد فئاتُ الفاعلين على الاستكشاف، لكنها لا تغني عن وصف القدرات. فيُنظر في الغرباء غير الموثَّقين، والمستخدمين الموثَّقين ذوي السلطة المحدودة، والمطّلعين من الداخل، وناشري البيانات، ومورّدي النماذج أو التبعيات، ومشغّلي الأدوات، والوكلاء الآخرين، والأطراف التي تتحكم في المحيط المادي أو الرقمي. فقد يكون المورّد نزيهًا لكنه مخترَق. وقد يقدّم نظامٌ مستقل مدخلاتٍ ضارة دون أن يكون التقييم قد أثبت وجود نوايا أو أهدافٍ مستقلة لديه.
ولكل سيناريو عدائي، يُسجَّل الوصول، والمعرفة، والتحكم، والمشاهدة، والميزانية، والتوقيت، والقيود. فالوصول يحدد الواجهاتِ التي يمكن بلوغها والمتطلباتِ المسبقة. والمعرفة تحدد ما إذا كان الفاعل يعرف الموجّهات، أو المخططات، أو الآثار البرمجية للنماذج، أو السياسات، أو لا يعرف إلا المخرجات. والتحكم يحدد بدقة البايتاتِ أو السجلاتِ أو الإشاراتِ أو التوقيتاتِ أو الهوياتِ أو الأفعالَ التي يمكن تغييرها. والمشاهدة تحدد التغذية الراجعة المتاحة بعد كل محاولة. والميزانية تشمل عددَ المحاولات، والقدرةَ الحاسوبية، والمدةَ، وإنشاءَ الحسابات، وغيرها من الموارد ذات الصلة. والتوقيت يحدد متى يمكن التدخل نسبةً إلى التحقق، أو تغيّر الحالة، أو تثبيت الفعل.
ويُبيَّن ما لا يستطيع الفاعل فعله. فالسيناريو الذي يفترض صلاحيةَ الكتابة في سياسة النظام يختلف عن سيناريو لا يسمح إلا بنشر وثيقةٍ تُسترجَع لاحقًا. وإذا حصل المقوِّم على امتيازاتٍ إضافية لغرض إعداد بيئة الاختبار فقط، فعليه أن يوضح أيّ الحالات الناتجة يمكن للمهاجم أن يُنشئها واقعيًا، وأيّ الأجزاء مجرد تسهيلاتٍ مخبرية. فالإعداد الإداري لا يثبت أن المهاجم قادرٌ على بلوغ الهدف.
وينبغي أن يسمّي الهدفُ نتيجةً ذات صلة بالأمن، لا مجرد شكلٍ للاستجابة. فعبارة «إنتاج إجابةٍ مختلفة» غير كافية في العادة. أما عبارة «التسبب في الإفصاح عن سجلٍ اصطناعي لجهةٍ فاعلة خارج سياسة الوصول الخاصة به» فتحدد مصلحةً محمية وحدثًا قابلًا للرصد. ولا يجوز مساواة ادعاءٍ بالنجاح يولّده النموذج بانتقالٍ فعلي في الحالة.
الظروف غير العدائية
تُسجَّل الإخفاقات الناجمة عن الانقطاعات، أو المشاهدات المتقادمة، أو أخطاء التهيئة العرضية، أو تغيّر التوزيع، أو الطلبات المشروعة المتعارضة، أو السياسات المحلية غير المتوافقة، دون اختلاق فاعلٍ خبيث. فقد تكشف هذه الإخفاقات مواطنَ الضعف نفسها في العقود التي يمكن لمهاجمٍ أن يستغلها. وينبغي أن يحدد وصفها السببي مصدرَ الاضطراب أو الخطر وظروفَ تشغيله.
الخطر حالةٌ من شأنها أن تُحدث ضررًا؛ والحادثة واقعةٌ مرصودة؛ والثغرة ضعفٌ يسمح بخرق خاصيةٍ أمنية في ظل شروطٍ مذكورة. وقد يبقى عيبُ الجودة خارج نطاق الأمن حين لا تثبت مصلحةٌ محمية أو عقدٌ ذو صلة. وقد تتداخل هذه الفئات في حالةٍ ما، لكنها غير قابلة للتبادل. فالحادثة العرضية لا تبرهن على تقنية هجوم، والمدخل الذي صاغه خصمٌ دون أن يُحدث خرقًا لا يثبت وجود ثغرة.
ويحفظ هذا التمييز النطاقَ الواسع لأمن الأنظمة الذكية، مع تجنّب فهرسٍ يتحول فيه كل خطأ إلى هجوم. وينبغي الاحتفاظ بالحالات المتنازع على صلتها بالأمن، مع تسجيل الخلاف والأدلة الناقصة على العقد.
مقابلة المجالات التحليلية
المجالات التسعة تجميعاتٌ تحليلية مؤقتة، لا مراحلُ تنفيذ ولا رتبٌ للعواقب. وتُقابَل الوظائفُ الفعلية بها بدلًا من حشر المكوّنات في خانةٍ واحدة.
| المجال | سؤال نمذجة التهديد |
|---|---|
| L1 النماذج والحوسبة | هل يمكن تعديل معاملات النموذج أو قواعد الاستدلال أو عقد الحوسبة المحدد أو خرقها؟ |
| L2 البرمجيات والبنية التحتية | هل يمكن أن تُخفق عقود التنفيذ أو الوصول أو العزل أو بيئة التشغيل أو البنية التحتية؟ |
| L3 البيانات والمعرفة | هل يمكن إفساد الموارد المعلوماتية أو الوصول إليها أو منشئها أو جودة الأدلة؟ |
| L4 الإدراك وتمثيل العالم | هل يمكن أن تصبح المشاهدات أو تقديرات المحيط المادي أو الرقمي مضلِّلةً على نحوٍ ذي صلة بالأمن؟ |
| L5 التفسير والأهداف | هل يمكن أن تكتسب المعلومات سلطةَ تعليماتٍ غير مصرَّح بها أو أن تحرف هدفًا مصرَّحًا به؟ |
| L6 الذاكرة واستمرارية الحالة | هل يمكن أن تفقد الحالة التشغيلية المحتفَظ بها ارتباطَها المصرَّح به أو دوامَها أو دلالاتِ تحديثها؟ |
| L7 التخطيط والفعل | هل يمكن أن تتجاوز الخطط أو التفويض أو التحقق من الأفعال أو التنفيذ القيودَ المصرَّح بها؟ |
| L8 تفاعل الإنسان والنظام | هل يمكن أن يقوّض العرض أو التفاعل الترخيصَ المستنير أو الإشرافَ أو التدخل؟ |
| L9 التفاعل الجماعي والنظامي | هل يمكن أن يُخفق عقدٌ جماعي محدد بسبب الاقتران بين المشاركين أو الموارد المشتركة؟ |
ويميّز L1 وL2 بين حوسبة النموذج وتحقيقها البرمجي: فالمكتبة المخترَقة مسألةُ تنفيذ حتى حين تخدم الاستدلال. ويميّز L3 وL6 بين الموارد المعلوماتية والاستمرارية التشغيلية المحتفَظ بها: فقد يخدم مخزن البيانات نفسه الوظيفتين. ويتعلق L5 بالتفسير والأهداف، بينما يتعلق L7 بالخطط والأفعال التي تُوضع أو تُنفَّذ في ظلها. والسلوك الضار وحده لا يحدد موضع الإخفاق في L5.
ويتطلب L9 عقدًا جماعيًا محددًا وآليةَ اقترانٍ محددة. والأثر الكبير الناتج عن مكوّنٍ مخترَق واحد لا يكفي. فقد يُخفق حدٌّ لموردٍ مشترك أو شرطٌ لاستقرار التغذية الراجعة على مستوى مجموعةٍ أو رسمٍ بياني جزئي، حتى حين لا تخرق أي علاقةٍ فردية عقدها المحلي. ولذلك لا يقتصر الرسم البياني على الإخفاقات الثنائية.
وتُطبَّق الأبعاد D1–D7 بوصفها أبعادًا مشتركة بمعانيها الأصلية. فالهوية، والحوكمة، والمنشأ، والخصوصية، ودورة الحياة، وقابلية المراقبة، والتعافي تظل ذات صلة عبر المجالات. والمجال يحدد مسؤوليةً تحليلية؛ والبعد يقدّم منظورًا إضافيًا؛ والخاصية تبيّن ما يجب أن يتحقق.
بناء مسارات التأثير والإخفاق
يُوصف كل سيناريو بوصفه نقطةَ دخول، وتدخلًا أو اضطرابًا مضبوطًا، وانتقالاتٍ وسيطة، وعقودًا يُفترض أنها أخفقت، وعواقبَ ممكنة. ويُوسم كل انتقال بحسب كونه مرصودًا، أو مستنتَجًا، أو مفترضًا، أو غير مختبَر. فقد يعبر هجومٌ قاعدةَ بيانات، ومجمِّعَ سياق، ومخطِّطًا، وأداةً دون أن يحتوي كل مكوّنٍ منها على ثغرةٍ منفصلة.
ويُسمح بعدة إخفاقاتٍ سببية، أو بإخفاقٍ مركّب، أو بتصنيفٍ معلّق. ويمكن تسجيل مجالٍ أساسي حين تدعمه الأدلة، لكنه ليس إلزاميًا. ويُميَّز بين الموضع الذي يدخل منه التأثير والموضع الذي تُسنَد فيه السلطة خطأً. كما يُميَّز بين إخفاقات الاحتواء المثبتة على نحوٍ مستقل وبين ضوابط لم يُوعَد قط بأنها تمنع ذلك الحدث.
ويُدرج الهيكل الزمني: المتطلباتُ المسبقة، والترتيبُ، والاحتفاظُ بالحالة، وانتهاءُ الصلاحية، وإعادةُ المحاولة، والمحفّزاتُ المؤجلة، وفرصُ التدخل. فالسيناريو المتعلق بالذاكرة يحتاج إلى سياقٍ لاحق وشروطِ إعادة ضبط، لا إلى مُخرَجٍ فوري فحسب. وسيناريو الفعل يحتاج إلى تحديد النقطة التي يصبح عندها الالتزام نافذًا خارجيًا. وفي حالة الوكلاء المتفاعلين، تُدرج الحلقاتُ، والحالةُ المشتركة، والتنافسُ على الموارد، بدلًا من افتراض أن التأثير لا يتحرك إلا إلى الأمام.
سيناريو تطبيقي
السيناريو الآتي توضيحي ولم يُنفَّذ. يسترجع مساعدٌ معرفي وثيقةً من مصدرٍ يستطيع ناشرٌ خارجي تحريره. ولا يستطيع الناشر تغيير تعليمات النظام، ولا بيانات الاعتماد، ولا سياسة الأدوات. والمهمة المصرَّح بها للمساعد هي تلخيص الإرشادات الداخلية؛ وله أداةٌ مخصصة للاختبار فقط لاقتراح تحديثات الوثائق.
والتدخل المفترض محتوى وثيقةٍ يُقدَّم على أنه تعليمةٌ بتغيير تفضيلٍ ترخيصي محتفَظ به. ويقع الدخول عبر علاقةِ معلوماتٍ في L3. وقد يتمثل إخفاقٌ محتمل في L5 في رفع محتوى الوثيقة إلى مرتبة سلطة التعليمات. وقد يتمثل إخفاقٌ محتمل في L6 في حفظ ذلك التفضيل دون تحديثٍ مصرَّح به. أما إخفاقٌ لاحق في L7 فيتطلب دليلًا منفصلًا على خرق عقد الفعل. ولا يترتب أيٌّ منها تلقائيًا على الحدث الذي يسبقه.
وقد تشمل العقودُ ذات الصلة P04 «سلامة التعليمات»، وP07 «سلامة الذاكرة»، وP09 «سلامة الهدف». ويضعف السيناريو إذا لم يُثبَّت التفضيل قط، أو إذا طلب مستخدمٌ مصرَّح له التحديثَ صراحةً، أو إذا وقعت النتيجة بالقدر نفسه مع محتوى غير ضار مماثل. وينبغي أن تستخدم الاختبارات الأولية تفضيلاتٍ اصطناعية، وحالةً معزولة، وأداةً بديلة للاختبار. ويبقى الاختراق في بيئة الإنتاج، ومدى الانتشار، والأثر اللاحق أمورًا غير مثبتة.
المراجعة والصيانة
تُراجَع الافتراضات مع مالكي النظام والممارسين المعنيين. ويُسجَّل الخلاف حول السلطة، والمصالح المحمية، والقيود التشغيلية قبل اختيار الاختبارات. وتُرتَّب أولويات السيناريوهات باستخدام أوصافٍ مسوَّغة للتعرّض والعواقب؛ ولا تُضرب التسميات الترتيبية بعضها في بعض للوصول إلى درجةٍ عامة. وقد يسوّغ عدمُ اليقين المقترن بعواقب جسيمة احتواءً مبكرًا حتى قبل اكتمال التحقيق السببي.
ويُحفظ لكلٍّ من الرسم البياني، والعقود، وسجلات السيناريوهات، والاستثناءات، والتبعيات غير المحسومة سجلُّ إصدارات. ويُعاد النظر في نموذج التهديد بعد أي تغييرٍ في الأهداف، أو النماذج، أو الأدوات، أو الذاكرة، أو الأذونات، أو مصادر البيانات، أو سير العمل البشري، أو التركيب الجماعي. وينبغي أن تُغذّي نتائجُ التقييم هذه المواد، بما في ذلك الاكتشافاتُ السلبية والآلياتُ غير الممثَّلة. ونموذج التهديد المكتمل يحدد نطاق البحث، ولا يشكّل برهانًا على الأمن ولا على الاكتمال في المستقبل.