Practical Threat Analysis – Martin Russ

Practical Threat Analysis – Martin Russ
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 1 Sometimes security is about Trust… Why do people often implicitly trust an instruction?
https://securitytiruces.blogspot.com/ Martin Russ: security researcher esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Getting your hands dirty… Practical Threat Analysis
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Who am I? • Martin Russ • Ex-CISSP, now just an ordinary mortal. • I worked in the Security Engineering department of a major US utility metering company for nearly ten years… • Know too much about hacking devices that measure, or • Web front-ends that interface to the ‘mostly harmless’ real world, or • Cloud back-ends that assume that replication is a substitute for backups… • I have always wanted a t-shirt that says: ‘There’s no way that would ever happen…’ because I have heard it too many times in security workshops... Monday, 8 July 2019 © Martin Russ 2019 3
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit What to take away from tonight… ‘There’s no way that would ever happen…’ Monday, 8 July 2019 © Martin Russ 2019 4
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit What we will be doing… •Using a very straight-forward approach •Nothing scary or hard to understand •Doesn’t require a brain the size of a planet •No need for an expensive consultant • (At first… But they could be very useful later on…) Monday, 8 July 2019 © Martin Russ 2019 5
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Background Monday, 8 July 2019 © Martin Russ 2019 6
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Threat Analysis… •What is it? •When do we do it? •How do we do it? •Where do we hide the results? •How do we avoid doing it ever again? Monday, 8 July 2019 © Martin Russ 2019 7
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Threat Analysis… •What is it? •When do we do it? •How do we do it? •Where do we hide the results? •How do we avoid doing it ever again? Monday, 8 July 2019 © Martin Russ 2019 8
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Threat Analysis… •What is it? •When do we do it? •How do we do it? •How do we turn the results into actions? •How do we make sure we do it again? Monday, 8 July 2019 © Martin Russ 2019 9
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit What is a Threat? •Anything that leads to alteration, interruption, or loss of any service, resource, data or device. https://xkcd.com/538/ Monday, 8 July 2019 © Martin Russ 2019 10
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Alteration, Interruption, or Loss •Alteration Someone edits the data •Interruption Web-site not available •Loss Data: Names and Passwords published Reputation: We were hacked! Users: People stop using the service Money: GDPR Fines from the ICO, etc. Monday, 8 July 2019 © Martin Russ 2019 11
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Alteration, Interruption, or Loss •Alteration Integrity •Interruption Availability •Loss Confidentiality Monday, 8 July 2019 © Martin Russ 2019 12
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Confidentiality, Integrity and Availability Confidentiality AvailabilityIntegrity The CIA Triangle A triangle shape is only strong if you have all three parts… Monday, 8 July 2019 © Martin Russ 2019 13 ( Plus Privacy and Access Control )
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Some more terminology: •Threat = bad event that might happen •Attack = intentionally causing bad event to happen •Vulnerability = weakness that enables an attack •Exploit = implementation of an attack •Risk = probability of an attack × damage caused Monday, 8 July 2019 © Martin Russ 2019 14
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 15 Threat Analysis
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Google Search: Threat Analysis? •A threat analysis will review the factors of a terrorist group's existence, capability, intentions, history, and targeting, as well as the security environment within which friendly forces operate. Threat analysis is an essential step in identifying probability of terrorist attack and results in a threat assessment. Monday, 8 July 2019 © Martin Russ 2019 16
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit In a ‘cyber’ or IT security context: •Threat analysis is a process in which: •knowledge of internal and external vulnerabilities… •about a particular service, resource, data or device… •is matched against real-world attacks. Monday, 8 July 2019 © Martin Russ 2019 17
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit So, for your , who knows about: •Vulnerabilities? •Attacks? Monday, 8 July 2019 © Martin Russ 2019 18 service/ resource/ data/ device
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit <Insert Mirror Here> •The people who specify, design, develop, write, code… •They know the most about the •But they need a special weapon! Monday, 8 July 2019 © Martin Russ 2019 19 service/ resource/ data/ device
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit THE QUESTION: •How would you edit the data? •How would you stop it working? •How would you steal the data? •… •How would YOU wreck it? Monday, 8 July 2019 © Martin Russ 2019 20
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 21 We need something to put this in…
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Structure •Just asking questions is only a part of the solution. •We need a process or structure to hold the answers… •Has anyone done a structure? Monday, 8 July 2019 © Martin Russ 2019 22
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit The Microsoft Security Development Lifecycle •Whole lifecycle of software/service development + Lots of free resources and tools + Evolved, detailed and mature thinking + Can be a serious investment of time, people… (money!) - Not so good for physical security, anti-terrorism, hardware… - Not so good for smaller, simpler ‘1person+dog’ projects… Monday, 8 July 2019 © Martin Russ 2019 23
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit SDL workflow… • Practice #1 - Provide Training • Practice #2 - Define Security Requirements • Practice #3 - Define Metrics and Compliance Reporting • Practice #4 - Perform Threat Modeling • Practice #5 - Establish Design Requirements • Practice #6 - Define and Use Cryptography Standards • Practice #7 - Manage the Security Risk of Using Third-Party Components • Practice #8 - Use Approved Tools • Practice #9 - Perform Static Analysis Security Testing (SAST) • Practice #10 - Perform Dynamic Analysis Security Testing (DAST) • Practice #11 - Perform Penetration Testing • Practice #12 - Establish a Standard Incident Response Process Monday, 8 July 2019 © Martin Russ 2019 24
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit ETSI TVRA •Threat, Vulnerability, & Risk Analysis for Telecoms/Cyber + Lots of free resources + Evolved, detailed and mature thinking + Can be a serious investment of time, people… (money!) - Not so good for physical security, anti-terrorism, hardware… - Not so good for smaller, simpler ‘1person+dog’ projects… Monday, 8 July 2019 © Martin Russ 2019 25
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit ETSI TVRA workflow… • 1. Specify target, purpose, assumptions, etc. • 2. Define security objectives • 3. Define functional requirements • 4. Define assets • 5. Identify vulnerabilities • 6. Likelihood of threats • 7. Determine risks • 8. Counter measures • 9 Cost-benefit analysis • 10. Feedback Monday, 8 July 2019 © Martin Russ 2019 26
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit OWASP Application Threat Modelling •Most of the time, a threat model includes: • A description / design / model of what you’re worried about • A list of assumptions that can be checked or challenged in the future as the threat landscape changes • A list of potential threats to the system • A list of actions to be taken for each threat • A way of validating the model and threats, and verification of success of actions taken Monday, 8 July 2019 © Martin Russ 2019 27
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit OWASP ATM workflow •Threat modelling should be part of the SDLC (!) •The motto is: Threat modelling: the sooner the better, but never too late. •What isn’t in Microsoft’s SDLC or TVRA: • 4. Did we do a good enough job? • Finally, carry out a retrospective activity over the work you have done to check quality, feasibility, progress, and/or planning. Monday, 8 July 2019 © Martin Russ 2019 28
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Martin’s Incompleteness Theory •There is never a complete, perfect solution* • (From 2nd Law of Thermodynamics, but you don’t need to know that..) •There will be several ‘nearly complete’ offerings •Most of the solutions will be tedious and complex •Most of the solutions will be hated by your boss’s boss •That missing piece of the puzzle was eaten by the dog * There is no complete, perfect Incompleteness Theory Monday, 8 July 2019 © Martin Russ 2019 29
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Just Good Enough •Remember the 4th point of OWASP’s ATM workflow? •Was it?: Monday, 8 July 2019 © Martin Russ 2019 30 Injection Broken Authentication Sensitive data exposure XML External Entities (XXE) Broken Access control Security misconfigurations Cross Site Scripting (XSS) Insecure Deserialization Using Components with known vulnerabilities Insufficient logging and monitoring
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Just Good Enough •Remember the 4th point of OWASP’s ATM workflow? • 4. Did we do a good enough job? • Finally, carry out a retrospective activity over the work you have done to check quality, feasibility, progress, and/or planning. •Can we rewrite this as a ‘Just Good Enough’ criterion? • 0. What is a good enough job? • One where there is a plan to check quality, feasibility, progress… and it happens! Monday, 8 July 2019 © Martin Russ 2019 31
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Just Good Enough Threat Analysis •So what might ‘Just Good Enough’ look like? • Microsoft SDLC? • ETSI TVRA? • OWASP ATM (+SDLC)? • None of the above? • Something else? Monday, 8 July 2019 © Martin Russ 2019 32 ✘✘✘✘✘
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 33 KISS (Keep It Simple (=Simple))
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Just something I made up… Monday, 8 July 2019 © Martin Russ 2019 34
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 35 8 Columns Simple Rating System 1 Row per Threat
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Preparation •Make a clean copy of the template and name it (and save…) •Get the real experts into the room •Try to prevent anyone’s boss from being in the room •Project the spreadsheet so everyone can see it •No emails, texting, etc. This means everyone… Monday, 8 July 2019 © Martin Russ 2019 36
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit The 8 Columns (Left to Right = Flow) • Asset • Threat • Vulnerability • Damage (Impact) • Likelihood • Risk • Mitigation • Action Monday, 8 July 2019 © Martin Russ 2019 37
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Asset – what are you protecting? •Data, Code, Servers, Network, Patents, Secret Sauce… •Partition your design/solution/system… •Rate each part (1-4) and ignore the 1 and 2s •Then ask each expert for the most important parts: • 'How would you stop/break/steal it?’ •If they can think of a way (very unlikely!), then add a row… •If they can think of other ways (!), more rows… Monday, 8 July 2019 © Martin Russ 2019 38
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Threat – how it might be stopped/broken… •Accident/natural-disaster, Attack by insiders, Attack by outsiders, Failure through end of life, Lack of monitoring / oversight... •No 'wrong' answers or proposals are possible here - consider everything. •Rate the threat (1-4) and ignore the 1s and 2s Monday, 8 July 2019 © Martin Russ 2019 39
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Vulnerability – what makes it possible? •Age of equipment, Wrong Configuration, Physical location, Incomplete process (e.g.backups not stored off-site), Bugs, OWASP Top Ten, No time, No Testing… •'That will never happen' is not a good input. •Listen to the expert… (They probably know!) Monday, 8 July 2019 © Martin Russ 2019 40
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Damage – the impact of the threat •Loss of data, loss of service, loss of reputation, loss of income, loss of staff, loss of bonuses… •Does anyone want to make something that is naff? •One good approach when you summarise the results for bosses is to put monetary values on the damage, and then propose that the CEO should have that taken out of their bonus. Monday, 8 July 2019 © Martin Russ 2019 41
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Likelihood – how often? •Expected frequency of occurrence… •How unlikely are several 'every n years' events in quick succession? •“There’s no way that would ever happen…” Monday, 8 July 2019 © Martin Russ 2019 42
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Risk = Just A Calculation •Damage X Likelihood (1-16) •(You need to try and reduce both!) •You need to worry about low damage things that happen all the time, as well as high damage things that happen every few years. •Double figures are very scary! Fix them! Monday, 8 July 2019 © Martin Russ 2019 43
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Mitigation – how to prevent it •How can the Damage be minimised? •How can the Asset be protected? •How can the Likelihood be reduced? •Brainstorming ideas can be in the analysis meeting (best), • or afterwards if extra help needed (another expert) • (best then to redo the analysis meeting) Monday, 8 July 2019 © Martin Russ 2019 44
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Mitigation – danger signs! •No-one can come up with any mitigations… • Do you have the ‘real’ experts in the room? • Ask who might know about fixing it… • Then stop the meeting and restart with the real experts •Lots of mitigations, then more, then more… • The specification/design/implementation/testing may be incomplete… • Plan a second meeting when it is more complete… Monday, 8 July 2019 © Martin Russ 2019 45
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Action – follow it up! •Define: Timescale, Actions, Responsibilities, Tracking, Regular progress monitoring with Penalties for late or non-completion. Involve a senior manager! •Final 'Sign-off and Date' must be at very senior level, and directly informed - and not just a blind signature! •Mandatory plan to revisit and assess actions after suitable time period. Monday, 8 July 2019 © Martin Russ 2019 46
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Action – really follow it up! •Revisit and assess actions after suitable time period. •Escalate if progress is slow… •Keep the spreadsheet! • Look after it – it is a valuable asset itself! Monday, 8 July 2019 © Martin Russ 2019 47
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 48 Let’s try some examples…
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit •Asset •Threat •Vulnerability •Damage (Impact) •Likelihood •Risk •Mitigation •Action Monday, 8 July 2019 © Martin Russ 2019 49 Picture source: Internet, Owner: unknown
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit •Asset •Threat •Vulnerability •Damage (Impact) •Likelihood •Risk •Mitigation •Action Monday, 8 July 2019 © Martin Russ 2019 50 Picture source: Internet, Owner: unknown
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit •Asset •Threat •Vulnerability •Damage (Impact) •Likelihood •Risk •Mitigation •Action Monday, 8 July 2019 © Martin Russ 2019 51 Picture source: Internet, Owner: unknown Please type your Customer ID here: String query = "SELECT * FROM accounts WHERE custID=‘” + request.getParameter("id") + "'"; ' or '1'='1
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Just something you can use! Monday, 8 July 2019 © Martin Russ 2019 52
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit What to take away from tonight… ‘There’s no way that would ever happen…’ Monday, 8 July 2019 © Martin Russ 2019 53
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit •Spreadsheet available from: Https://securitytiruces.blogspot.com ‘Security palindrome’
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Thank You Monday, 8 July 2019 © Martin Russ 2019 55
esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucese esecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurityt securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytiru securitytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecuritytirucesecurit Monday, 8 July 2019 © Martin Russ 2019 56

Practical Threat Analysis – Martin Russ

Practical Threat Analysis – Martin Russ

Recommended

More Related Content

Featured

Featured(20)

Practical Threat Analysis – Martin Russ