Threat Modeling Engineer

En threat modeling engineer leder efter fejl i designet, ikke i koden. Arbejdet starter med en tegning: et dataflowdiagram, en arkitekturskitse eller et nyt API. Derfra er spørgsmålet, hvad en angriber kan bruge systemet til.

Metoden er struktureret. De fleste bruger STRIDE, som Microsoft udviklede til sin Security Development Lifecycle. Systemet deles op i komponenter, dataflows og tillidsgrænser. Hver del gennemgås for spoofing, tampering, repudiation, information disclosure, denial of service og elevation of privilege. Til privatliv bruges LINDDUN, der passer til kravet om databeskyttelse gennem design i EU's databeskyttelsesforordning (GDPR).

Typiske opgaver

• Tegne dataflowdiagrammer og tillidsgrænser sammen med udviklere og arkitekter
• Facilitere workshops, hvor teamet finder trusler mod hver enkelt komponent
• Beskrive angrebsscenarier og koble dem til teknikker i MITRE ATT&CK
• Prioritere fund efter risiko, ofte med CVSS eller en intern model
• Omsætte modforanstaltninger til user stories og følge dem til dørs
• Gennemgå arkitekturændringer, før de går i produktion

En almindelig arbejdsdag
Formiddagen går ofte med én workshop på halvanden time med ét udviklingsteam. Om eftermiddagen renskrives modellen, og fundene skrives ind i Jira eller Azure DevOps. Derefter følger typisk et review af en arkitekturbeslutning. Og en diskussion med en produktejer om, hvad der kan vente til næste kvartal. En stor del af jobbet er at sige nej på en måde, teamet kan bruge til noget.

Hvor arbejder man?
Rollen findes der, hvor software enten er produktet eller er kritisk infrastruktur. I Danmark især inden for medico, pumper og vindmøller, finans, tele, forsvarsleverandører og større softwarehuse. Domænet ændrer indholdet markant. I bilindustrien hedder øvelsen TARA og følger standarden ISO/SAE 21434. I industriel automation arbejder man efter IEC 62443 og Purdue-modellen. I skyen handler det mest om IAM-roller, netværkssegmentering og hemmeligheder i pipelines.

Rollen er sjældent alene. Man arbejder tæt sammen med sikkerhedsarkitekter, penetrationstestere og GRC-folk. Forskellen er timingen: threat modeling sker før byggeriet, pentest bagefter.

Hvilken lovgivning dækker denne rolle?
Faget kræver ingen autorisation. Men efterspørgslen er i høj grad skabt af konkret regulering. EU's Cyber Resilience Act pålægger producenter af produkter med digitale elementer at vurdere cybersikkerhedsrisici i designet og dokumentere vurderingen. EU's NIS2-direktiv og den danske cybersikkerhedslov stiller krav om risikostyring og sikkerhed i forsyningskæden hos væsentlige og vigtige enheder. For finanssektoren stiller EU's DORA-forordning tilsvarende krav til test og risikostyring. For køretøjer kræver UNECE-regulativ nr. 155 et cybersikkerhedsstyringssystem, og for medicinsk udstyr peger EU's forordning om medicinsk udstyr (MDR) samme vej.

Der er ingen fast uddannelse til jobbet. De fleste kommer fra en teknisk uddannelse og drejer mod sikkerhed undervejs.

Den typiske uddannelsesvej

• Bachelor og kandidat i datalogi, software engineering eller cybersikkerhed. Fem år i alt. Udbydes blandt andet af DTU, Aalborg Universitet, IT-Universitetet i København, Syddansk Universitet og Aarhus Universitet.
• Diplomingeniør i it eller softwareteknologi. Tre et halvt år.
• Datamatiker. To et halvt år, typisk efterfulgt af nogle år i udvikling eller drift.

Adgangskravet til de tekniske uddannelser er en gymnasial eksamen med matematik A eller B og engelsk B. De præcise krav står i det enkelte universitets studieordning og på Uddannelses- og Forskningsministeriets optagelsesportal.

Vejen ind i praksis
Næsten ingen bliver ansat direkte fra studiet. Rollen kræver, at man selv har bygget og driftet systemer. Tre til fem års erfaring er det normale udgangspunkt.

De almindeligste spring ind i faget:

• Udvikler, der bliver security champion i sit team og gradvist tager flere modeller
• Penetrationstester, der er træt af at finde de samme designfejl for sent
• Cloud- eller infrastrukturarkitekt, der i forvejen tegner systemer
• GRC-konsulent med teknisk baggrund, der vil tættere på produktet

Certificeringer
Ingen er påkrævet, men de bliver læst i en ansøgning. CISSP fra ISC2 kræver fem års dokumenteret erfaring og vejer tungt hos danske arbejdsgivere. CSSLP, også fra ISC2, rammer softwaresikkerhed mere præcist. Inden for industri og OT tæller certificering efter ISA/IEC 62443. Kurser i selve metoden udbydes blandt andet af SANS Institute og i OWASP-miljøet.

Er det svært at komme ind?
Den tekniske del kan læres. Det svære er facilitering. Man skal kunne holde en workshop med otte udviklere, der helst ville kode i stedet. Det kræver, at man kender deres kode godt nok til at blive taget alvorligt.

Videre herfra
Typiske næste skridt er sikkerhedsarkitekt, principal product security engineer eller leder for produktsikkerhed. Nogle går videre til rådgivning hos konsulenthuse. Andre fortsætter mod CISO-sporet.

Modelleringsværktøjer

• OWASP Threat Dragon — gratis og open source, gemmer modellen som JSON i repoet
• Microsoft Threat Modeling Tool — klassikeren til STRIDE, kører kun på Windows
• IriusRisk og SD Elements — kommercielle platforme, der genererer sikkerhedskrav automatisk
• Threagile og pytm — threat model som kode, kan køre i CI/CD
• draw.io, Excalidraw, Miro og Lucidchart — bruges mindst lige så meget som de dedikerede værktøjer

Vidensbaser og rammeværk

• MITRE ATT&CK og CAPEC til angrebsteknikker og angrebsmønstre
• CWE til at navngive fejltyper i kode og design
• OWASP ASVS til sikkerhedskrav og OWASP SAMM til modenhedsvurdering
• CVSS til at score sårbarheder
• STRIDE, LINDDUN og PASTA som metoder

Det tekniske underlag
Man læser Terraform, Kubernetes-manifester og cloudarkitektur i AWS, Azure eller Google Cloud. OpenAPI-specifikationer bruges til at forstå, hvad et API reelt udstiller. Resultaterne lander i Jira eller Azure DevOps og dokumenteres i Confluence eller som Markdown i Git. Mange skriver små scripts i Python for at trække diagrammer og fund ud af systemerne.

Hvad der ikke er værktøjet
Det vigtigste redskab er et whiteboard og en time med de rigtige mennesker. Værktøjerne holder styr på resultatet. De finder ikke truslerne.