Les arbres d'attaque sont une manière de représenter visuellement les menaces de sécurité informatique dans un modèle de branchement pour déterminer les menaces qui sont les plus susceptibles et de bloquer efficacement les menaces. L'expert en sécurité Bruce Schneier a proposé le modèle d'arbre d'attaque, et il est largement utilisé dans une variété de paramètres. Membres du personnel de technologie de l'information et de consultants en matière de sécurité peuvent utiliser ce parmi de nombreuses méthodes pour trouver des points faibles dans un système et d'élaborer un plan pour y faire face.
Dans attaquent les arbres, spécialistes de la sécurité détail de toutes les manières possibles pour attaquer un système. Cette méthode est principalement utilisée dans la sécurité informatique, mais il peut également être appliqué à d'autres sujets, tels que la sécurité des ménages. Dans un ménage où quelque chose de précieux est stocké dans la chambre à coucher, par exemple, un arbre d'attaque serait d'explorer différentes façons dont les gens peuvent accéder à cet article, de briser par la fenêtre de la chambre à coucher d'établir une amitié et profitant de l'accès fourni à un dîner pour voler l'objet.
L'objectif de l'attaque, comme l'accès à des fichiers confidentiels ou voler de l'argent, est la racine de l'arbre d'attaque. Chaque branche représente une méthode différente pour atteindre cet objectif, et les branches pourraient feuille dans un certain nombre de directions, avec différentes options pour adopter ces méthodes. Pour intercepter e-mail, par exemple, quelqu'un pourrait lier d'amitié avec un administrateur système qui a les mots de passe ou pirater haut niveau dans le système pour récupérer une copie des e-mails lors de leur passage à travers un serveur donné.
Avec une représentation graphique d'exploits possibles du système, il est possible d'affecter des valeurs de difficulté à divers points de la carte. attaquent les arbres peuvent aider les professionnels de la sécurité de déterminer où se situent les points faibles, par rapport aux zones de haute sécurité qui n'ont probablement pas besoin de mesures supplémentaires. Les coûts peuvent également être une considération, une méthode peut être très facile, mais tellement cher que le coût constitue un obstacle important, et donc il pourrait être une priorité inférieure à une option plus difficile, mais vraiment pas cher. Attaquent les arbres peuvent aider les professionnels de la sécurité de fixer des priorités quand il s'agit de l'amélioration de la sécurité et de l'évolution de rester au fait des menaces.
La créativité est essentielle à la création d'arbres d'attaque. Professionnels de la sécurité doivent «sortir des sentiers battus» quand il s'agit d'explorer exploits possibles qui pourraient être utilisés pour accéder à un système sécurisé. Un manque de clairvoyance pourrait conduire à rater une question évidente, comme la possibilité que quelqu'un puisse marcher dans une pièce verrouillée et simplement voler un serveur qui contient les données confidentielles souhaités.