STRIDEという脅威モデルについて
STRIDEとは
Microsoft が提唱する脅威の分類手法
STRIDEは6つの驚異の頭文字をとったもの。
Spoofing(なりすまし)
別の誰かを装って、不正に情報に関与すること。
- IPスプーフィング
- フィッシング
- パスワードクラック
- ソーシャルエンジニアリング
などがある。
Tampering(データの改ざん)
データの書き換えたり、破壊したりすること。
Webサイトの書き換えがイメージしやすい。（外部から攻撃）
決算データの書き換え＝粉飾決済（内部でのデータ操作）も改ざんの一つ。
Repudiation(否認)
行為を行ったものが自分の行いを認めず、否認をすること。
Information Disclosure(情報漏洩)
意図していない相手に情報が漏洩してしまうこと。
機密情報が持ち出されたり、
攻撃者が公開されていない情報を取得したり。
Denial of Service(サービス不能)
大量のリクエストやデータを送信し、サービスを利用できない状態にすること。
大量のコンピュータからDoS攻撃を行うことを分散型サービス不能攻撃（DDoS）という。
Elevation of Privilege(権限の昇格)
アクセスを許していないはずのユーザにアクセス権が与えられてしまうこと。
単純な設定ミスの場合や、マルウェアなどによる設定の書き換えだったり。