Estoy haciendo un doctorado en diseño para el dominio de seguridad / ciberseguridad y tengo problemas para poner las palabras correctas en una idea que tuve.
Teniendo en cuenta algunas amenazas contra un sistema, supongamos que hemos identificado los componentes / funciones que probablemente serán atacados por un atacante, según las amenazas anteriores. También supongamos que al menos uno de estos componentes / funciones se identifica como un activo (es importante protegerlo). Llamamos a este activo A.
Para hacerlo simple, quiero encontrar los mecanismos de seguridad mínimos para proteger A (y otros activos identificados, por supuesto, pero trabajemos con uno). Lo que pensé que valía la pena encontrar es el conjunto de funciones / componentes relacionados con A (llamémoslo conjunto S), de manera que si el atacante se compromete con las funciones en S, tendrá una forma más fácil de atacar a A.
Por ejemplo, supongamos que tenemos un atacante que quiere robar algunos datos del usuario, y estos datos están protegidos por una contraseña. Esta contraseña se almacena en algún lugar del sistema. El atacante podría forzar la contraseña o intentar robar la contraseña y luego ingresar al sistema. He llamado a este tipo de relación una relación "causal" o una relación de "dependencia", como si la contraseña para acceder a los datos del usuario estuviera directamente relacionada con la función que da acceso a los datos del usuario, es básicamente una entrada (pero quizás haya algo diferente a una entrada, todavía no lo sé)
Sin embargo, no encuentro nada usando "relaciones de dependencia" o "relaciones causales". Quiero encontrar las funciones / componentes directamente relacionados con un activo en un sistema, lo que significa que el activo necesita que estas funciones funcionen correctamente. Realmente no es encontrar la superficie de ataque de una función. No sé si la adaptación de la relación funcional de la teoría de la base de datos podría funcionar.
Sin embargo, agradezco cualquier sugerencia de su parte, ya que me cuesta encontrar buenas palabras sobre este concepto. Ni siquiera sé si lo que dije tiene sentido en realidad.
En el desbordamiento de pila, uno me sugirió que mirara el "Análisis de dependencia de seguridad", que parece prometedor. ¿Alguna opinión?