Vis enkel innførsel

dc.contributor.advisorCruzes, Daniela Soares
dc.contributor.advisorDruta, Romina
dc.contributor.authorTran, Mai Hoang
dc.date.accessioned2023-09-04T17:19:44Z
dc.date.available2023-09-04T17:19:44Z
dc.date.issued2023
dc.identifierno.ntnu:inspera:142737689:34496472
dc.identifier.urihttps://hdl.handle.net/11250/3087346
dc.description.abstractHovedmålet med masteroppgaven er å forbedre sikkerheten til skyinfrasttrukturer ved å identifisere sårbarheter og svakheter på et tidlig stadium, helst i designfasen. For å oppnå dette, foreslås en metode-artefakt som en potensiell løsning for å håndtere dette problem, med mål om å besvare følgende forskningsspørsmål: RQ1: Hvordan kan sikkerhetsfunn fra allerede implementerte skyinfrastrukturer forbedre trusselmodelleringsprosessen? RQ2: Hva er effekten av den foreslåtte løsningen? Artefakten består av et sett med spørsmål som er utledet fra sikkerhetsfunn fra et CNAPP-verktøy. Disse spørsmålene kan brukes under trussemodelleringsprosessen for å identifisere potentiselle svakheter, implementere tiltak og styrke sikkerheten rundt infrastrukturen tidlig i utviklingsløpet. Design science-rammeverket er metodikken som har blitt brukt gjennom hele studien. Første trinn innebærer å avklare problemet, etterfulgt av definere kravene. Deretter går man over til å designe og utvikle artefakten. Videre gjennomføres en demonstrasjon gjennom en fiktiv case, og avsluttes med en evaluering og diskusjon av resultatene. Evalueringen består av en undersøkelse som vurderer effektiviteteten av hvilken grad artefakten løser problemet, brukervennligheten, hvor godt de oppfyller kravene, mulige bivirkninger og sammenligning med andre lignende verktøy. Resultatene fra undersøkelsen indikterte en positiv respons blant de som vurderte artefakten. Flertallet av deltakerne syntes den var nyttig og opplevde at den forbedret trusselmodelleringsprosessen ved at de fikk nyttige ideer for videre idémyldring. Imidlertid ble det også påpeket at spørsmålene ikke alltid var like tydelige, derfor burde det i kvalitetssikres av en fagekspert, i tillegg til manglende sky-spesifikk terminologi. Videre ble det erkjent at artefakten trenger mer tid for å modne før den eventuelt skal bli integrert i eksisterende metoder og praksis.
dc.description.abstractThe primary objective of this thesis is to improve the security of cloud infrastructures by addressing vulnerabilities and weaknesses in an early stage, preferably in design phase. Specifically, the thesis proposes a method artefact as solution to address this issue, with the the intention of providing answers to answer following research questions: RQ1: How can the security findings from deployed cloud infrastructures improve the threat modelling process? RQ2: What is the effect of the proposed solution? The artefact consist of a set of questions that have been derived from security post-deployment findings utilising a Cloud Native Application Protection Platform (CNAPP) tool. These questions can be applied during threat modelling process to identify potential weaknesses and implement security measures and strengthen security posture of the infrastructure early in the development cycle. Design science framework is the methodology that has been used throughout the study. First step involves explicating the problem, followed by defining the requirements. Moreover, next stage is designing and developing the artefact. Then a demonstration is performed through a fictional case, and concluding with an evaluation and discussing the results. The evaluation consists of a survey that assesses the effectiveness the effectiveness of the artefact in solving the problem, usability, defined requirements, side-effects and comparison to other tools. The survey results indicated a positive outlook on the artefact, with a majority of participants finding it helpful and perceiving an improvement in the threat modelling process, by gaining useful ideas for further brainstorming. However, it was also highlighted that the questions should be quality assured by a domain expert, in addition to lack cloud-specific terminology. Furthermore, it was acknowledged that the artefact requires more time to mature in order to be fully adapted and integrated into existing practices.
dc.languageeng
dc.publisherNTNU
dc.titleHow the MITRE ATT&CK Framework can be used for Threat Modelling in the Cloud
dc.typeMaster thesis


Tilhørende fil(er)

Thumbnail

Denne innførselen finnes i følgende samling(er)

Vis enkel innførsel