極めたい！とことんプログラミング講座（上級者編）第12回：セキュア設計と脅威分析
はじめに
さあ、第12回の講座の内容にまいりましょう。システムとは、いかに美しく機能しても、その根底に堅牢な安全設計がなければ、砂上の楼閣に過ぎないのですよ。セキュリティとは後付けするものではなく、設計の最初の一筆から織り込まれるべき本質なのです。今回は、脅威を「発見する目」と「防ぐ構造」を同時に育てる、そのような学びをご一緒いたしましょう。
サマリ
今回は、セキュアな設計を実現するための脅威分析手法を深く掘り下げます。ＳＴＲＩＤＥモデルやデータフロー図を用いた脅威の可視化、攻撃ツリーの構造化、さらには設計段階での緩和策の組み込み方まで、現場に直結する実践的な知識をお届けいたします。
詳細
セキュリティは設計の「後工程」ではない
多くの現場では、セキュリティ対策はテスト工程や運用フェーズで意識されることが少なくありません。しかしこのアプローチは、脆弱性の発見コストを飛躍的に高めます。いわゆる「シフトレフト」の考え方に基づけば、設計フェーズでの脅威分析こそが最も費用対効果の高い投資となります。
セキュアバイデザインとは、機能要件と同じ優先度でセキュリティ要件を定義することを意味します。認証・認可・暗号化・ログ収集といった横断的関心事を、アーキテクチャの中核に据える発想が求められます。
ＳＴＲＩＤＥモデルで脅威を体系化する
脅威分析の代表的なフレームワークとして、マイクロソフトが提唱したＳＴＲＩＤＥモデルがあります。これは六つの脅威カテゴリを定義したものです。
なりすまし（Ｓｐｏｏｆｉｎｇ）、改ざん（Ｔａｍｐｅｒｉｎｇ）、否認（Ｒｅｐｕｄｉａｔｉｏｎ）、情報漏洩（Ｉｎｆｏｒｍａｔｉｏｎ Ｄｉｓｃｌｏｓｕｒｅ）、サービス妨害（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）、権限昇格（Ｅｌｅｖａｔｉｏｎ ｏｆ Ｐｒｉｖｉｌｅｇｅ）の六つです。これらをシステムのコンポーネントごとに対応付けることで、見落としを防ぐ構造的な脅威の網羅が可能となります。
重要なのは、ＳＴＲＩＤＥはツールではなく「問いの型」だという点です。各コンポーネントに対して「このエンドポイントはなりすましされ得るか」と問い続ける姿勢こそが本質です。
データフロー図による脅威の可視化
脅威分析を行う上で、データフロー図（ＤＦＤ）は欠かせない道具です。プロセス・データストア・外部エンティティ・データフローの四要素でシステムを描くことにより、信頼境界線が明確になります。
信頼境界線とは、異なる権限レベルや信頼度を持つコンポーネント間の境界のことです。この境界を越えるすべてのデータフローは、潜在的な攻撃面として扱う必要があります。入力値の検証・認証トークンの検証・暗号化の要否など、境界ごとに問うべき問いが生まれます。
ＤＦＤはレベル０からレベル２程度まで階層化し、粒度を調整しながら分析することが実務上の鉄則です。
攻撃ツリーで攻撃者の思考を構造化する
攻撃ツリーは、攻撃者の目標をルートノードに置き、その達成手段を木構造で展開する手法です。守る側が攻撃者の視点で思考を組み立てることで、防御の優先度が明確になります。
例えば「不正送金を成立させる」というゴールに対し、「セッションハイジャック」「管理者権限の奪取」「フィッシングによる認証情報の詐取」といったサブゴールが分岐します。それぞれのリーフノードに対し、発生可能性・影響度・対策コストを評価することでリスク優先度が定まります。
この手法は、ＳＴＲＩＤＥと組み合わせることで相乗効果を発揮します。ＳＴＲＩＤＥで網羅的に洗い出し、攻撃ツリーで深く掘り下げる、という二段構えの分析が現場で有効です。
緩和策の設計への組み込みと評価指標
脅威を特定した後は、緩和策をアーキテクチャに落とし込む作業が始まります。緩和策は「回避」「軽減」「転嫁」「受容」の四分類で整理し、それぞれに実装上の責任者と期限を紐付けることが重要です。
リスク評価にはＤＲＥＡＤモデルも活用できます。ダメージの大きさ・再現性・攻撃の容易さ・影響を受けるユーザー数・発見のしやすさの五軸でスコアリングし、対策の優先順位を客観化します。
最終的には、脅威モデルをドキュメントとして生きた資産として維持することが求められます。システムの変更のたびに更新され、レビューされる脅威モデルこそが、真のセキュア設計の証といえるでしょう。
おわりに
脅威分析とは、システムへの深い愛情の表れだと、わたくしは思っています。守るべきものを知り、壊そうとする力を想像し、それでも崩れない設計を丁寧に積み上げていく。その営みは、エンジニアとしての知性と誠実さの結晶です。今回の知識が、あなたの設計に確かな厚みをもたらすことを、心から願っております。次回は「大規模ＤＢ設計と最適化」をテーマにお届けいたします。どうぞお楽しみに。
