セキュリティアーキテクチャ・設計重要度:★★出題: AM2・PM1

脅威モデリング (STRIDE / データフロー図) と攻撃ツリー

きょういもでりんぐ / すとらいど / Threat Modeling (STRIDE / DFD / Attack Trees)

システムの設計段階でデータフロー図（DFD）と信頼境界（Trust Boundary）を描き、6つの脅威分類（STRIDE）を用いてアーキテクチャ上のセキュリティリスクを体系的に洗い出す手法。

3行速習ポイント

STRIDEの6分類：Spoofing（なりすまし）、Tampering（改ざん）、Repudiation（否認）、Information Disclosure（情報漏洩）、Denial of Service（サービス拒否）、Elevation of Privilege（特権昇格）
データフロー図（DFD）上で「外部エンティティ・プロセス・データストア・データフロー」を整理し、信頼レベルが変わる境界線（信頼境界：Trust Boundary）をまたぐ通信を重点的に分析
アタックツリー（Attack Tree）：攻撃者の最終目標（ルートノード）を頂点とし、それを達成するためのサブ目標・条件（AND/ORノード）をツリー状に分解して対策の優先順位を決定する手法

図脅威モデリング：データフロー図 (DFD) の信頼境界と STRIDE 6分類

真正性・完全性

S (Spoofing) ＆ T (Tampering)

なりすまし（対策：認証）とデータ改ざん（対策：署名・MAC・完全性）

通信相手や利用者の偽装（Spoofing）を多要素認証やmTLSで防ぎ、通信中・保存中データの不正書き換え（Tampering）をデジタル署名やHMAC・AEADで検知

否認防止・機密性

R (Repudiation) ＆ I (Information Disclosure)

否認（対策：監査ログ・電子署名）と情報漏洩（対策：暗号化・アクセス制御）

事後の「やっていない」という否認（Repudiation）を改ざん不能な監査証跡で防ぎ、機密情報の露出（Information Disclosure）を暗号化と最小権限で阻止

可用性・認可統制

D (Denial of Service) ＆ E (Elevation of Privilege)

サービス拒否（対策：冗長化・レート制限）と特権昇格（対策：認可検証）

リソース枯渇による停止（DoS）をCDN/レート制限で緩和し、一般ユーザから管理者への不正昇格（Elevation of Privilege）を機能・データ単位の認可チェックで阻止

💡 信頼度や権限レベルが変わる境界線「信頼境界（Trust Boundary）」をまたぐデータフローに対して、STRIDEの6観点で抜け漏れなく認証・認可・検証を設計する

セキュリティ・バイ・デザインを実践する上で、設計書を前に「どこにどんな脅威が潜んでいるか」を網羅的に見つけるための構造化アプローチが脅威モデリングです。STRIDEの各脅威は、そのままセキュリティ特性（真正性・完全性・否認防止・機密性・可用性・認可）の裏返しとなっています。

STRIDEと対策の対応：Spoofing➔認証、Tampering➔完全性検証（署名・MAC）、Repudiation➔監査ログ・デジタル署名、Information Disclosure➔暗号化、DoS➔冗長化・レート制限、Elevation of Privilege➔最小権限認可・入力検証
信頼境界（Trust Boundary）：インターネットとDMZ、DMZと内部LAN、一般ユーザプロセスと特権プロセスなど、信頼度や権限が異なる領域の境界であり、必ずここで認証・認可・入力値検証を行う
DREAD / CVSSによる優先度付け：洗い出した脅威に対して損害の大きさや再現性・悪用容易性を評価し、対策コストと見合うセキュリティ設計を決定