ここでの「脅威」とは、情報システムなどに損害を与えかねないセキュリティ上の要因を指します。具体的には、なりすましや情報の改ざん／漏洩などが想定されます。こうした脅威を把握し、対策を検討するのが脅威分析で、脅威分析には複数のモデルが存在します。情報システムやアプリケーションを設計する際には、設計段階でこうしたモデルを活用した脅威分析を行い、セキュリティ要件を明確にすることが極めて重要になります。

脅威分析には以下の3つのステップがあります。

• ①システム構成の把握
• ②脅威の洗い出し
• ③対策の検討

このうち、②の「脅威の洗い出し」のために考案されたのがSTRIDEモデルで、1999年頃にマイクロソフト社のエンジニアによって提唱されたのが起源とされています。「STRIDE」とは「なりすまし (Spoofing)」、「改ざん (Tampering) 」、「否認(Repudiation) 」 、「漏洩 (Information Disclosure) 」 、「DoS (Denial of Service) 」、「権限昇格 (Elevation of Privilege)」の頭文字で、この６つのカテゴリーに沿って脅威を洗い出します。

出典：経済産業省「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」をもとに弊社にて作成

STRIDEモデルを用いた脅威分析の流れについて、前章で示した①～③のステップを順に見ていきましょう。

①システム構成の把握

STRIDEモデルで脅威分析を行うには、システム構成の把握が必須となります。そこでシステム全体の構成を把握するために、まずDFD（Data Flow Diagram、データフローダイヤグラム）を作成します。DFDは対象機器やその外部システムで扱うデータの流れを明確にし、データ処理を可視化したものです。

②脅威の洗い出し

システム構成が把握できたら、STRIDEモデルを用いて脅威の洗い出しを行います。STRIDEモデルにも以下の2つの手法があり、組織の環境に合わせて適宜選択する必要があります。

手法①：STRIDE-per-Element
「STRIDE-per-Element」はDFDの各構成要素から脅威を洗い出す方法です。まず、システムの構成についてDFDを作成し、外部エンティティやプロセス、データフローなどのElement（要素）を特定します。その後、以下のようなチャートを用いて、全ての要素に対してSTRIDEに当てはまるかどうかを判断し、各要素について脅威を洗い出していきます。

手法②：STRIDE-per-Interaction
「STRIDE-per-Interaction」はDFDの中から信頼境界（※）上の脅威を洗い出す観点で実施する方法です。信頼境界を考慮して図1のようなDFDを作成したのち、信頼境界と交差するデータフローを特定し、それぞれについてSTRIDEに当てはまるかどうかを判断します（表3）。
※信頼境界：管理している組織やインターフェースが変わるポイント

③対策の検討

②で洗い出した脅威を基に、具体的にどのような攻撃が行われうるか想定し、対策を検討します。ここでは、「ユーザーによるプロセスのなりすまし」という脅威を例に考えてみましょう（表4）。まず、攻撃のためにどのようなステップがあるかを定義した上で、各ステップでの攻撃手法を想定します。そして、それに対する具体的な対策を検討していきます。

出典：筆者作成

前述の通り、システム設計段階での脅威分析は非常に重要です。システム運用開始後にセキュリティに関する問題が発見された場合、その対応コストは設計段階に対応する場合と比べ数倍にも膨れ上がるとされる上、運用開始後の改修はシステムの停止などユーザーへの影響も大きくなるためです。こうした事態を防ぐためにも、STRIDEモデルを用いて脅威を洗い出し、具体的な攻撃手法や対策を検討することは有用と言えるでしょう。