Seminar Threat Modeling – Risiken in Softwarelieferketten

Seminarbeschreibung

Bedrohungsmodelle machen sichtbar, an welchen Stellen sich eine Softwarelieferkette auf Annahmen über andere Systeme, Konten oder Personen verlässt. Das Seminar vermittelt hierfür eine nachvollziehbare Vorgehensweise, die mit überschaubaren Modellen beginnt und gezielt zu überprüfbaren Kontrollen führt. Betrachtet werden nicht nur externe Angriffe, sondern auch falsch eingerichtete Berechtigungen, unbeabsichtigte Änderungen und unklare Zuständigkeiten. Der Analyseumfang wird so begrenzt, dass konkrete Entscheidungen innerhalb der verfügbaren Zeit möglich bleiben.

Eine vorbereitete Architektur verbindet Quellcodeverwaltung, externe Pakete, CI-Runner, Registry und Deployment. Schrittweise werden Datenflüsse und Vertrauensgrenzen modelliert, relevante Fehl- und Missbrauchsszenarien untersucht und Maßnahmen priorisiert. Eine einfache systematische Bedrohungskategorisierung unterstützt die Vollständigkeit; sie ersetzt nicht die fachliche Bewertung des Einzelfalls. Die Übungen enden mit überprüfbaren Akzeptanzkriterien für ausgewählte Kontrollen und einer geplanten Aktualisierung des Modells. Damit bleibt Threat Modeling Bestandteil der Entwicklungsarbeit und wird nicht zu einem einmaligen Diagramm ohne praktische Folgemaßnahmen.

Inhaltsübersicht

1. Analyseauftrag und Modellgrenze festlegen
2. Datenflüsse und Vertrauensgrenzen modellieren
3. Bedrohungen systematisch erarbeiten
4. Risiken priorisieren
5. Kontrollen und Akzeptanzkriterien ableiten
6. Bedrohungsmodelle aktuell halten

Seminarinhalte

Modul 1: Analyseauftrag und Modellgrenze festlegen

Kapitelinhalt: Schutzgüter; Annahmen; Verantwortliche

• Den betrachteten Lieferprozess, seine Beteiligten und besonders schützenswerte Informationen definieren.
• Vorhandene Schutzmaßnahmen sowie unbestätigte Annahmen sichtbar getrennt dokumentieren.
• Änderungen und Entscheidungen bestimmen, für die das Bedrohungsmodell eine konkrete Grundlage liefern soll.

Modul 2: Datenflüsse und Vertrauensgrenzen modellieren

Kapitelinhalt: Systeme; Zugänge; Artefaktwege

• Quellcode, Konfigurationen, Pakete, Artefakte und Geheimnisse entlang ihrer tatsächlichen Übergaben verfolgen.
• Schreibrechte, Job-Identitäten und administrative Zugänge den jeweils erreichbaren Systemen zuordnen.
• Grenzen zwischen ungeprüfter Eingabe, vertrauenswürdigem Build und autorisierter Veröffentlichung im Modell markieren.

Modul 3: Bedrohungen systematisch erarbeiten

Kapitelinhalt: Manipulation; Identitätsmissbrauch; Informationsabfluss

• Eine geeignete Kategorisierung auf die einzelnen Datenflüsse und Vertrauensgrenzen anwenden.
• Szenarien wie vertauschte Artefakte, kompromittierte Paketquellen und übermächtige Runner ohne operative Angriffsanleitungen analysieren.
• Ereignisfolgen mit notwendigen Voraussetzungen und möglichen Auswirkungen beschreiben und vom bloßen Schlagwort trennen.

Modul 4: Risiken priorisieren

Kapitelinhalt: Auswirkung; Plausibilität; Unsicherheit

• Technische Auswirkungen, betroffene Produkte und organisatorische Folgen eines Szenarios gemeinsam betrachten.
• Eintrittsvoraussetzungen und vorhandene Kontrollen nachvollziehbar bewerten, ohne Scheingenauigkeit durch unbelegte Zahlen zu erzeugen.
• Informationslücken mit Prüfaufträgen verbinden und eine begründete Reihenfolge der wichtigsten Maßnahmen erarbeiten.

Modul 5: Kontrollen und Akzeptanzkriterien ableiten

Kapitelinhalt: Vorbeugung; Erkennung; Reaktion

• Maßnahmen am wirksamen Punkt der Lieferstrecke ansetzen und für jede Kontrolle einen Verantwortlichen bestimmen.
• Positive und negative Prüffälle formulieren, mit denen sich die erwartete Schutzwirkung nachweisen lässt.
• Restrisiken und bewusste Ausnahmen dokumentieren und erforderliche Freigabeentscheidungen kennzeichnen.

Modul 6: Bedrohungsmodelle aktuell halten

Kapitelinhalt: Änderungen; Reviews; Wiederverwendung

• Neue Paketquellen, Runner, Identitäten oder Deployment-Ziele als konkrete Anlässe für eine erneute Betrachtung festlegen.
• Das Modell mit Architekturentscheidungen, Arbeitsaufträgen und Sicherheitsprüfungen verknüpfen.
• Eine Peer-Review durchführen und Annahmen, offene Maßnahmen und nachweislich umgesetzte Kontrollen unterscheiden.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Den vorgegebenen Lieferprozess mit Schutzgütern und Analysegrenzen beschreiben.
2. Datenflüsse, Identitäten und Übergaben in einem verständlichen Modell darstellen.
3. Für ausgewählte Vertrauensgrenzen konkrete Fehl- und Missbrauchsszenarien erarbeiten.
4. Die Risiken priorisieren und passende Maßnahmen mit positiven und negativen Akzeptanztests formulieren.
5. Das Modell anhand einer veränderten Architektur überarbeiten und die betroffenen Entscheidungen nachvollziehen.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Vorbereitete Architektur- und Berechtigungsinformationen sowie ein lokal verfügbares Diagramm- oder Modellierungswerkzeug. Es werden fiktive Systeme und Testdaten verwendet.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.