脅威モデリングの原理（STRIDE・攻撃木・信頼境界）

脅威モデリングとは何か

脅威モデリングは、システムの構造を分解して攻撃者が悪用しうる経路を体系的に洗い出し、どこに対策を置くべきかを設計段階で決める作業です。実装が終わってから侵入テストで穴を探すのではなく、設計図の上で先回りして攻撃を想定する点に本質があります。修正コストが最も安い設計段階で欠陥を潰せるため、OWASP Top 10 でも「安全でない設計（A04）」として脅威モデリングの不足が独立カテゴリに挙げられています。

核心は次の4つの問いに答えることです。(1) 何を作っているか（対象の可視化）、(2) 何がうまくいかないか（脅威の列挙）、(3) どう対処するか（緩和策）、(4) 十分にやったか（検証）。この記事は主に (1) と (2) の原理――データフロー図・信頼境界・STRIDE・攻撃木――を扱います。

データフロー図と信頼境界

最初の工程は、システムを**データフロー図（DFD）**として描き、攻撃面を見える化することです。DFD は次の4種類の要素だけで構成します。表記が少ないのは、脅威の当てはめを機械的に行えるようにするためです。

ここに引くのが信頼境界（trust boundary）です。これは信頼レベルの異なる領域の境目――言い換えれば、データの出所をそのままでは信用できなくなる線です。ブラウザとサーバーの間、アプリと DB の間、特権プロセスと非特権プロセスの間などに現れます。

信頼境界が重要なのは、脅威は境界を越えるところで生まれるからです。境界の内側だけで完結するデータフローには検証の必要が薄く、逆に境界を越えてくる入力はすべて「攻撃者が制御しうるもの」と見なさねばなりません。だからこそ入力検証・認証・正規化・出力エンコードといった対策は、信頼境界の上に集中して配置するのが原則です。境界の数とその上を通るフローの本数が、そのまま検査すべき攻撃面の量になります。

STRIDE による脅威分類

DFD の各要素・各フローに対し、何が起こりうるかを漏れなく当てるための分類が STRIDE です。Microsoft が体系化したもので、6つの脅威カテゴリの頭文字を取っています。それぞれがある安全性質の侵害に対応しているのがポイントです。

STRIDE の威力は、要素の種類ごとに当てはまる脅威があらかじめ決まっていることです。これにより「思いつき」ではなく機械的に列挙できます。たとえば外部エンティティには S と R が、データフローには T・I・D が、データストアには T・I・R・D が、プロセスには6種すべてが当たりうる、という対応表（STRIDE-per-element）に沿って各要素を点検します。

例: ログイン API（プロセス、信頼境界を跨ぐフローを受ける）
 S: 他人になりすましてログインできるか        → 認証強度・MFA
 T: リクエストボディを改ざんできるか          → TLS・サーバー側検証
 R: 不正ログイン試行が記録されず否認されるか  → 監査ログ
 I: エラー応答から有効ユーザーを推測できるか  → 応答の均一化
 D: 試行を大量に送り認証処理を枯渇させられるか → レート制限
 E: 一般権限から管理者操作へ昇格できるか      → 認可チェックの分離

この6観点を境界をまたぐフロー1本ごとに回せば、見落としが構造的に減ります。なお D（サービス妨害）は緩和の考え方が他と異なるため、専用の整理として DDoS 対策 を併読すると理解が深まります。

攻撃木とリスク評価

STRIDE が「要素ごとに脅威を広く挙げる」横の網羅だとすれば、**攻撃木（attack tree）は「ある目標を達成する経路を深く掘る」縦の分析です。攻撃者の最終目標を根（ルート）**に置き、それを達成する手段を子ノードへ分解していきます。

ノードの結合には2種類あります。AND ノードは子をすべて満たさないと達成できない（攻撃者にとって難しい）、OR ノードはどれか1つで達成できる（守る側にとって脆い）。この区別が防御の急所を示します。

目標: 管理者データを読み出す                [OR]
├─ 認証情報を窃取する                        [OR]
│  ├─ フィッシングでパスワードを奪う
│  └─ 漏えい DB のパスワード再利用を突く
├─ 認可の不備を突く（IDOR）                  [AND]
│  ├─ 有効なセッションを得る
│  └─ 他人の ID を指す参照を改ざんする
└─ DB へ直接到達する                         [OR]
   └─ SQL インジェクションで読み出す

葉（リーフ）に近いほど具体的な攻撃手段で、ここに「コスト」「必要な技能」「検知されやすさ」などの属性を載せると、根までの**最も安価な経路（攻撃者が選ぶ道）**が見えてきます。OR の枝はどれか1つでも生きていれば目標が成立するため、最弱の枝を塞ぐのが効率的な防御になります。

列挙した脅威に優先順位を付けるのがリスク評価です。古典的な DREAD は5観点を点数化して合算します。

DREAD は直感的ですが、評価者によって点数がぶれやすく、特に Discoverability は「見つかりにくいから低リスク」とする発想が隠蔽による安全に傾く弱点があります。そのため現在は、より客観的な CVSS や、単純に「発生可能性 × 影響度」のリスクマトリクスへ置き換える運用も多く見られます。重要なのは点数の絶対値ではなく、同じ基準で全脅威を並べ替え、上位から対処するという相対化です。

まとめ

脅威モデリングは、データフロー図でシステムを分解し → 信頼境界を引き → 各要素に STRIDE を当てて脅威を網羅し → 攻撃木で経路を深掘りし → リスク評価で優先順位を決める、という一連の構造化された設計作業です。場当たり的な「思いつき列挙」を、要素と境界に紐づく機械的な手順へ落とし込む点に価値があります。

実務では、まず信頼境界をまたぐ重要なフローに STRIDE を回して脅威台帳を作り、攻撃木で最弱の枝を見極め、リスク順に緩和策を設計・検証します。設計段階の脅威モデルは、実装後の ペネトレーションテスト と相互補完の関係にあり、「先回りで潰す」と「実際に突いて確かめる」を両輪で回すことで、攻撃面を継続的に縮小できます。