Template pemetaan ancaman aplikasi

Mulai dengan satu alur yang nyata

Pilih fitur atau perubahan tertentu dan gambarkan siapa mengirim data ke mana. Tandai titik ketika kepercayaan berubah, misalnya permintaan dari browser memasuki API atau tugas diteruskan ke antrean. Jangan mengubah lembar ini menjadi daftar nama serangan tanpa hubungan dengan sistem.

Contoh: ekspor laporan pelanggan

Bagian	Isian contoh fiktif
Aset	Laporan transaksi milik satu organisasi pelanggan
Ancaman	Pengguna mengganti pengenal organisasi lalu meminta ekspor milik pihak lain
Kontrol	Keanggotaan diperiksa di server; pekerja ekspor memeriksa ulang ruang akses
Uji	Akun organisasi A tidak memperoleh berkas B melalui API, antrean, maupun tautan unduhan
Tindak lanjut	Uji ulang setelah perubahan pekerjaan latar belakang

Gunakan hasil dalam pengerjaan

Ubah kontrol menjadi tugas implementasi dan hasil pengujian yang dapat diperiksa. Jika mitigasi bergantung pada asumsi, tulis asumsi tersebut dan cara memeriksanya. Sertakan jalur dukungan/admin dan dependensi vendor.

Lembar ini melengkapi pengembangan aman dan matriks hak akses. Threat modeling membantu menemukan risiko desain; tidak menggantikan pengujian aplikasi atau membuktikan tidak ada kerentanan.

Lengkapi alur dan keputusan desain

Untuk contoh ekspor tadi, gambar browser → API → antrean → pekerja ekspor → penyimpanan → pengunduh. Tandai masukan dari pengguna dan layanan mana yang dapat mengubah konteks organisasi. Akun pekerjaan otomatis pun perlu izin terbatas; ia tidak boleh mengambil data semua pelanggan hanya karena menerima ID tugas.

Catat keputusan: server menetapkan konteks organisasi dari keanggotaan yang sah, pekerja memeriksa ruang akses tugas, dan unduhan menolak pengguna yang tidak berhak. Catat pula keadaan gagal: jika pemeriksaan izin tidak tersedia, ekspor ditunda atau ditolak tanpa mengirim berkas.

Periksa keputusan tersebut melalui akun serta objek buatan A dan B. Bukti yang dicari meliputi penolakan lintas organisasi, unduhan sah yang tetap berfungsi, dan tidak adanya berkas yang tertinggal terbuka. Pemilik backend menindaklanjuti kontrol; pemilik produk menilai risiko tersisa. Penambahan jalur dukungan atau integrasi menjadi pemicu peninjauan ulang.