Secure SDLC + threat modeling
Security requirements и abuse cases се разглеждат преди production, не след pentest.
Какво е
Security requirements и abuse cases се разглеждат преди production, не след pentest.
Как работи
Архитектурата се анализира за trust boundaries, assets, threat actors, abuse cases и compensating controls.
Пример: threat model преди code
Екип проектира feature „webhook fetch“. Без threat modeling изискването е просто „backend-ът да зарежда URL“.
Threat model добавя въпроси:
- Може ли URL да сочи към
169.254.169.254? - Може ли да redirect-не към internal host?
- Какви credentials има service-ът?
- Какъв egress е позволен?
Така SSRF protection се проектира преди production incident.
Как се проваля Secure SDLC
Когато security review е последна gate стъпка два дни преди release. Тогава изборът обикновено е „приемаме риска“, защото архитектурата вече е бетон.
Как да проверим
Изберете три последни major features и вижте дали security requirements са съществували преди implementation.
Практическа имплементация
- Threat model за major features.
- Security acceptance criteria.
- Abuse stories.
- Architecture review за auth, trust, secrets, data flows.
- Map към OWASP ASVS/API Security.
Какво НЕ решава
Threat model без връзка към backlog, testing и ownership е diagram theatre.
Предпазва най-силно от
- Adversarial Example / Evasion Attack · AI, ML и LLM атаки
- Agent Hijacking · AI, ML и LLM атаки
- AI-Assisted Social Engineering · AI, ML и LLM атаки
- AI/Model Supply-Chain Compromise · AI, ML и LLM атаки
- API Enumeration · API и business-logic атаки
- API Replay Attack · API и business-logic атаки
- API Scraping · API и business-logic атаки
- API Security Misconfiguration · API и business-logic атаки
- Artifact Repository Poisoning · Software supply chain, DevOps и CI/CD
- Authentication Bypass · Web приложения и браузърни атаки
- Automated Account Creation / Fake Accounts · API и business-logic атаки
- Broken API Authentication · API и business-logic атаки
- Broken Function-Level Authorization (BFLA) · Web приложения и браузърни атаки
- Broken Function-Level Authorization (BFLA) · API и business-logic атаки
- Broken Object Level Authorization (BOLA) · API и business-logic атаки
- Broken Object Property-Level Authorization (BOPLA) · API и business-logic атаки
- Buffer Overflow / Memory Corruption · Web приложения и браузърни атаки
- Build Provenance Tampering · Software supply chain, DevOps и CI/CD
- Build-System Compromise · Software supply chain, DevOps и CI/CD
- Business Logic Abuse · Web приложения и браузърни атаки
- CI/CD Pipeline Compromise · Software supply chain, DevOps и CI/CD
- CI/CD Secret Theft · Software supply chain, DevOps и CI/CD
- Clickjacking / UI Redressing · Web приложения и браузърни атаки
- Cloud Account Takeover · Cloud, SaaS, containers и Kubernetes
- Cloud Backup/Snapshot Deletion · Cloud, SaaS, containers и Kubernetes
- Cloud Cryptojacking · Cloud, SaaS, containers и Kubernetes
- Cloud IAM Privilege Escalation · Cloud, SaaS, containers и Kubernetes
- Cloud Metadata Credential Theft · Cloud, SaaS, containers и Kubernetes
- Cloud Ransomware / Storage Encryption · Cloud, SaaS, containers и Kubernetes
- Code-Signing Key Compromise · Software supply chain, DevOps и CI/CD
- Compromised Base Image · Software supply chain, DevOps и CI/CD
- Compromised Vendor/MSP · Software supply chain, DevOps и CI/CD
- Container Escape · Cloud, SaaS, containers и Kubernetes
- Container Registry Poisoning · Cloud, SaaS, containers и Kubernetes
- Cross-Site Request Forgery (CSRF) · Web приложения и браузърни атаки
- Cross-Tenant Trust/Federation Abuse · Cloud, SaaS, containers и Kubernetes
- Dependency Confusion · Software supply chain, DevOps и CI/CD
- Direct Prompt Injection · AI, ML и LLM атаки
- DNS Rebinding · Web приложения и браузърни атаки
- DOM-based XSS · Web приложения и браузърни атаки
- Excessive Agency / Tool Abuse · AI, ML и LLM атаки
- Exposed API Keys/Tokens in Client Code · API и business-logic атаки
- Exposed Cloud Management Interface · Cloud, SaaS, containers и Kubernetes
- Exposed Cloud Secrets · Cloud, SaaS, containers и Kubernetes
- Exposed Kubernetes API Server · Cloud, SaaS, containers и Kubernetes
- GraphQL Query Abuse · API и business-logic атаки
- Hardware Supply-Chain Implant/Tampering · Software supply chain, DevOps и CI/CD
- Host Header Injection · Web приложения и браузърни атаки
- HTTP Parameter Pollution (HPP) · Web приложения и браузърни атаки
- HTTP Request Smuggling · Web приложения и браузърни атаки
- HTTP Response Splitting / CRLF Injection · Web приложения и браузърни атаки
- Improper Inventory Management / Shadow API · API и business-logic атаки
- Indirect Prompt Injection · AI, ML и LLM атаки
- Insecure Deserialization · Web приложения и браузърни атаки
- Insecure Direct Object Reference (IDOR) / BOLA · Web приложения и браузърни атаки
- Insecure Output Handling · AI, ML и LLM атаки
- Integer Overflow/Underflow · Web приложения и браузърни атаки
- Jailbreaking · AI, ML и LLM атаки
- JSON Web Token (JWT) Misuse/Attack · Web приложения и браузърни атаки
- Kubernetes Network/Lateral-Movement Abuse · Cloud, SaaS, containers и Kubernetes
- Kubernetes RBAC Abuse · Cloud, SaaS, containers и Kubernetes
- Kubernetes Secret Theft · Cloud, SaaS, containers и Kubernetes
- LDAP Injection · Web приложения и браузърни атаки
- Living Off the Cloud (LOTC) · Cloud, SaaS, containers и Kubernetes
- Local File Inclusion (LFI) · Web приложения и браузърни атаки
- Maintainer Account Takeover · Software supply chain, DevOps и CI/CD
- Malicious Container Image · Cloud, SaaS, containers и Kubernetes
- Malicious IDE/Editor Extension · Software supply chain, DevOps и CI/CD
- Malicious OAuth/SaaS Application · Cloud, SaaS, containers и Kubernetes
- Malicious Open-Source Package · Software supply chain, DevOps и CI/CD
- Mass Assignment / Broken Object Property-Level Authorization · Web приложения и браузърни атаки
- Membership Inference · AI, ML и LLM атаки
- Model Extraction / Model Stealing · AI, ML и LLM атаки
- Model Inversion · AI, ML и LLM атаки
- Model Poisoning / Backdoored Model · AI, ML и LLM атаки
- NoSQL Injection · Web приложения и браузърни атаки
- Open Redirect · Web приложения и браузърни атаки
- OS Command Injection · Web приложения и браузърни атаки
- Package Typosquatting · Software supply chain, DevOps и CI/CD
- Path/Directory Traversal · Web приложения и браузърни атаки
- Persistent AI Memory/Context Poisoning · AI, ML и LLM атаки
- Prototype Pollution · Web приложения и браузърни атаки
- Public Cloud Storage Exposure · Cloud, SaaS, containers и Kubernetes
- Race Condition / TOCTOU · Web приложения и браузърни атаки
- RAG / Vector-Database Poisoning · AI, ML и LLM атаки
- Reflected Cross-Site Scripting (Reflected XSS) · Web приложения и браузърни атаки
- Regular Expression Denial of Service (ReDoS) · Web приложения и браузърни атаки
- Remote File Inclusion (RFI) · Web приложения и браузърни атаки
- Retrieval Hijacking / Search Manipulation for AI · AI, ML и LLM атаки
- SaaS Session/Token Theft · Cloud, SaaS, containers и Kubernetes
- Security Misconfiguration / Exposed Administrative Interface · Web приложения и браузърни атаки
- Sensitive Information Disclosure by LLM · AI, ML и LLM атаки
- Server-Side Request Forgery (SSRF) · Web приложения и браузърни атаки
- Server-Side Template Injection (SSTI) · Web приложения и браузърни атаки
- Software Supply-Chain Attack · Software supply chain, DevOps и CI/CD
- Software Update Hijacking · Software supply chain, DevOps и CI/CD
- Source-Code Repository Compromise · Software supply chain, DevOps и CI/CD
- SQL Injection (SQLi) · Web приложения и браузърни атаки
- SSRF чрез API/Webhook · API и business-logic атаки
- Stored Cross-Site Scripting (Stored XSS) · Web приложения и браузърни атаки
- Subdomain Takeover · Web приложения и браузърни атаки
- System-Prompt / Hidden-Instruction Leakage · AI, ML и LLM атаки
- Training-Data Poisoning · AI, ML и LLM атаки
- Unbounded Consumption / Model DoS · AI, ML и LLM атаки
- Unrestricted Access to Sensitive Business Flows · API и business-logic атаки
- Unrestricted File Upload · Web приложения и браузърни атаки
- Unrestricted Resource Consumption · API и business-logic атаки
- Unsafe Consumption of Third-Party APIs · API и business-logic атаки
- Use-After-Free (UAF) · Web приложения и браузърни атаки
- Vulnerable/Outdated Dependency Exploitation · Software supply chain, DevOps и CI/CD
- Web Cache Deception · Web приложения и браузърни атаки
- Web Cache Poisoning · Web приложения и браузърни атаки
- Web Skimming / Magecart · Web приложения и браузърни атаки
- XML External Entity (XXE) · Web приложения и браузърни атаки
- XPath/XQuery Injection · Web приложения и браузърни атаки
- Zip Slip / Archive Path Traversal · Web приложения и браузърни атаки
Кой го търси
35 отворени обяви искат това умение. Затворените обяви не се броят — това е търсенето сега.