Threat Modeling Tool 機能の概要
Threat Modeling Tool は、脅威モデリングのニーズに応えます。 ツールの基本的な概要については、「Threat Modeling Tool の概要」を参照してください。
注意
Threat Modeling Tool はよく更新されるため、このガイドを頻繁にチェックして最新の機能と改善点をご確認ください。
空白のページを開くには、 [Create A Model]\(モデルの作成\) を選択します。
ツールで現在利用可能な機能を確認するには、概要に関するページの例で Microsoft チームが作成した脅威モデルを使用してください。
「ナビゲーション」
組み込みの機能について説明する前に、ツールの主なコンポーネントについて見ておきましょう。
メニュー項目
操作方法は、他の Microsoft 製品と似ています。 上部のメニュー項目を確認してみましょう。
| Label | 詳細 |
|---|---|
| [最近使ったファイル] |
|
| [編集] | 操作の取り消しとやり直し、コピー、貼り付け、削除を行う。 |
| 表示 |
|
| Diagram (ダイアグラム) | ダイアグラムの追加と削除、ダイアグラムのタブ間の移動を行う。 |
| レポート | 他のユーザーと共有できる HTML レポートを作成する。 |
| Help (ヘルプ) | ツールの使い方を説明したガイドを参照する。 |
シンボルは、上部のメニューのショートカットです。
| Symbol | 詳細 |
|---|---|
| [ファイル] | 新しいファイルを開く。 |
| および | 現在のファイルを保存する。 |
| Design (デザイン) | モデルを作成できるデザイン ビューを開く。 |
| 分析 | 生成された脅威とそのプロパティを表示する。 |
| ダイアグラムの追加 | 新しいダイアグラムを追加する (Excel の新しいタブと似ています)。 |
| ダイアグラムの削除 | 現在のダイアグラムを削除する。 |
| Copy (コピー)/Cut (切り取り)/Paste (貼り付け) | 要素のコピー、切り取り、貼り付けを行う。 |
| Undo (元に戻す)/Redo (やり直し) | 操作を取り消す/やり直す。 |
| 拡大/縮小 | 見やすくするためにダイアグラムを拡大/縮小する。 |
| フィードバック | MSDN フォーラムを開く。 |
キャンバス
キャンバスは、要素をドラッグ アンド ドロップする領域です。 ドラッグ アンド ドロップは、最も簡単で効率的なモデルの構築方法です。 次に示すように、右クリックしてメニューから項目を選択し、要素の汎用バージョンを追加することもできます。
キャンバスにステンシルをドロップする
ステンシルを選択する
ステンシル
選択したテンプレートに基づいて、使用できるすべてのステンシルが表示されます。 正しい要素が見つからない場合は、別のテンプレートを使用します。 または、ニーズに合わせてテンプレートを変更できます。 一般に、次のようなカテゴリの組み合わせが表示されます。
| ステンシル名 | 詳細 |
|---|---|
| [処理] | アプリケーション、ブラウザー プラグイン、スレッド、仮想マシン |
| 外部入力/終端 | 認証プロバイダー、ブラウザー、ユーザー、Web アプリケーション |
| データ ストア | キャッシュ、ストレージ、構成ファイル、データベース、レジストリ |
| データ フロー | バイナリ、ALPC、HTTP、HTTPS/TLS/SSL、IOCTL、IPSec、名前付きパイプ、RPC/DCOM、SMB、UDP |
| Trust line/Border boundary (信頼回線/境界) | 企業ネットワーク、インターネット、マシン、サンドボックス、ユーザー/カーネル モード |
メモ/メッセージ
| コンポーネント | 詳細 |
|---|---|
| Messages (メッセージ) | 要素間にデータ フローがないなど、エラーが発生した場合にユーザーに警告する内部的なツール ロジック。 |
| メモ | デザインおよびレビュー プロセス全体でエンジニアリング チームがファイルに手動で追加したメモ。 |
要素のプロパティ
要素のプロパティは、選択した要素によって異なります。 信頼境界を除くと、その他のすべての要素には 3 つの一般的な項目があります。
| 要素のプロパティ | 詳細 |
|---|---|
| Name | 簡単に認識できるように、プロセス、ストア、入力/終端、フローに名前を付ける場合に役立ちます。 |
| スコープ外 | オンにすると、要素は脅威生成マトリックスから取得されます (推奨されません)。 |
| Reason for out of scope (スコープ外の理由) | スコープ外が選択された理由をユーザーに通知する理由のフィールド。 |
要素のカテゴリごとにプロパティは変わります。 使用可能なオプションを調べるには、各要素を選択します。 または、テンプレートを開いて詳細を調べることができます。 機能を見てみましょう。
[ようこそ] 画面
アプリを開くと、ようこそ画面が表示されます。
モデルを開く
[Open A Model]\(モデルを開く\) にポインターを置くと、 [Open From This Computer]\(このコンピューターから開く\) と [Open From OneDrive]\(OneDrive から開く\) という 2 つのオプションが表示されます。 最初のオプションでは、 [File Open]\(ファイルを開く\) 画面が表示されます。 2 番目のオプションでは、OneDrive のサインイン プロセスが実行されます。 認証が成功すると、フォルダーとファイルを選択できます。
フィードバック、提案、問題
[Feedback, Suggestions and Issues]\(フィードバック、提案、問題\) を選択すると、SDL ツールの MSDN フォーラムが表示されます。 回避策や新しいアイデアなど、他のユーザーがツールについて述べている内容を読むことができます。
デザイン ビュー
新しいモデルを開いたり作成したりすると、デザイン ビューが開きます。
要素の追加
2 つの方法でグリッドに要素を追加することができます。
- ドラッグ アンド ドロップ: 目的の要素をグリッドにドラッグします。 そのうえで、要素のプロパティを使用して追加情報を入力します。
- 右クリック: グリッドの任意の場所を右クリックし、ドロップダウン メニューから項目を選択します。 選択した要素の一般的な表現が画面に表示されます。
要素の接続
2 つの方法で要素を接続することができます。
- ドラッグ アンド ドロップ: 目的のデータ フローをグリッドにドラッグし、両端を適切な要素に接続します。
- Shift キーを押しながらクリック: 1 つ目の要素 (データの送信) をクリックし、Shift キーを押しながら 2 つ目の要素 (データの受信) をクリックします。 右クリックし、 [接続] を選択します。 双方向データ フローを使用している場合、順番は重要ではありません。
Properties
ステンシル上で変更できるプロパティを表示するには、ステンシルを選択します。それに応じて情報が設定されます。 以下の例は、 [データベース] ステンシルをダイアグラムにドラッグする前後を示しています。
[指定日付より前]
クリック後
メッセージ
脅威モデルを作成し、データ フローを要素に接続し忘れた場合は、通知が表示されます。 メッセージを無視するか、指示に従って問題を修正することができます。
メモ
ダイアグラムにメモを追加するには、 [メッセージ] タブから [メモ] タブに切り替えます。
分析ビュー
ダイアグラムを作成した後、ショートカット ツール バーの分析シンボル (虫眼鏡) を選択して、分析ビューに切り替えます。
生成された脅威項目
脅威を選択すると、3 つの異なる機能を使用できます。
| 機能 | Information |
|---|---|
| 既読インジケーター | 脅威が既読としてマークされます。これは、確認済みの項目を追跡するうえで役立ちます。
|
| 相互作用フォーカス | 脅威に含まれているダイアグラム内の相互作用が、強調表示されます。
|
| 脅威のプロパティ | 脅威に関する詳細情報が [Threat Properties]\(脅威のプロパティ\) ウィンドウに表示されます。
|
優先度の変更
生成された各脅威の優先度レベルを変更することができます。 異なる色を使用すると、優先度が高、中、低の脅威を簡単に識別できます。
脅威のプロパティの編集可能なフィールド
上の図のように、ツールによって生成された情報を変更することができます。 また、特定のフィールドに情報 (理由など) を追加することもできます。 これらのフィールドは、テンプレートによって生成されます。 各脅威についてさらに情報が必要な場合は、変更を行えます。
Reports
優先度の変更と、生成された各脅威の状態の更新が終わったら、ファイルを保存したり、レポートを印刷したりすることができます。 [レポート]>[Create Full Report]\(フル レポートの作成\) の順に移動します。 レポートに名前を付けると、次の図のような内容が表示されます。
次のステップ
- ご質問、ご意見、懸念事項は tmtextsupport@microsoft.com に送信してください。 Threat Modeling Tool をダウンロード すると、すぐに使い始めることができます。
- コミュニティにテンプレートを投稿するには、GitHub ページにアクセスしてください。