// HEISE ONLINE — LINUX & OPEN SOURCE
heise-Angebot: c’t-Workshop: Threat Modeling – Sicherheitslücken finden, bevor Angreifer es tun
Threat Modeling gehört nicht nur in die Security-Abteilung. Der Workshop zeigt, wie ganze Entwicklungsteams Bedrohungen gemeinsam analysieren.
Ein neues Feature geht live, die ersten Nutzer loggen sich ein und wenige Tage später meldet das Security-Team eine kritische Schwachstelle in der Authentifizierung. Das Entwicklungsteam muss die Architektur aufwendig umbauen. Solche Szenarien kosten Zeit, Geld und Nerven. Wer Sicherheitsfragen dagegen früh im Entwicklungsprozess stellt, erkennt Risiken, bevor es teuer wird.
Genau hier setzt Threat Modeling an: Teams betrachten ein geplantes oder bestehendes System gezielt aus der Perspektive möglicher Angreifer. So lassen sich Bedrohungen identifizieren und Schutzmaßnahmen ableiten, bevor Code in Produktion geht. Der c’t-Workshop „Einführung ins Threat Modeling“ vermittelt dieses Vorgehen praxisnah und strukturiert.
Referent Dr. Christoph Niehoff führt zunächst in die Grundlagen des Threat Modelings ein. Die Teilnehmer modellieren ein komplexes IT-System, identifizieren relevante Vertrauensgrenzen und untersuchen, an welchen Stellen Sicherheitsprobleme entstehen können.
Als methodisches Rückgrat dient das STRIDE-Framework. Es unterscheidet sechs Bedrohungskategorien: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege. Auf dieser Grundlage bewerten die Teilnehmenden Risiken, priorisieren Gegenmaßnahmen und lernen, das Vorgehen in agile Entwicklungs- und DevOps-Prozesse einzubinden.
Threat Modeling soll nicht allein bei Security-Spezialisten liegen. Deshalb zeigt der Workshop auch, wie sich Entwickler mithilfe eines Kartenspiels aktiv in die Bedrohungsanalyse einbeziehen lassen. So kann die Beschäftigung mit möglichen Angriffsszenarien zu einem festen Bestandteil der Entwicklungsarbeit werden.
Der Workshop richtet sich an Entwickler, Softwarearchitekten, Site Reliability Engineers und Security-Verantwortliche. Ausgeprägte Security-Vorkenntnisse sind nicht erforderlich. Die Veranstaltung findet auf Deutsch statt, die Präsentationsfolien sind auf Englisch. Um den Austausch mit dem Referenten zu ermöglichen, ist die Gruppe auf 15 Personen begrenzt.
Für die Teilnahme benötigen Sie einen aktuellen Webbrowser, eine Webcam sowie ein Headset oder Mikrofon.
Der Newsletter zur neuen Ausgabe: Tests, Praxis, Wissen und vieles mehr, jeden zweiten Donnerstag.
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.