Cyber Shelf

// Comparaison

Threat Modeling vs Web Security for Developers : lequel lire ?

Deux livres de cybersécurité sur Defensive, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Intermédiaire
5/52014
Threat Modeling

Designing for Security

Adam Shostack

L'introduction de praticien d'Adam Shostack à la modélisation des menaces : STRIDE, arbres d'attaque, et comment intégrer la pratique au cycle de vie logiciel réel.

Débutant
4/52020
Web Security for Developers

Real Threats, Practical Defense

Malcolm McDonald

Le primer côté développeur de Malcolm McDonald sur les problèmes classe OWASP, cadré autour de vraies attaques et défendu avec des patterns de code plutôt qu'avec des produits vendor.

À lire si

Quiconque conçoit des systèmes et veut livrer moins de bugs en production. La modélisation de menaces est la pratique de sécurité à plus fort levier pour les développeurs ; ce livre l'a enfin rendue enseignable.
Développeurs qui veulent comprendre la sécurité sans gens de la sécurité dans la boucle. McDonald est le rare auteur qui explique XSS, CSRF, SQLi, auth et sessions sans distractions de tooling offensif, dans le langage qu'un codeur en activité utilise.

À éviter si

Lecteurs qui veulent une checklist rapide ou un one-pager. Shostack est exhaustif : STRIDE, arbres d'attaque, diagrammes de flux de données, kill chain, le tout avec des exemples filés. Survoler le livre est un gâchis.
Praticiens qui connaissent déjà OWASP à fond, ou lecteurs voulant de la profondeur sur les classes de bugs modernes (chaînes SSRF, prototype pollution, race conditions). Le livre est fondamental, pas avancé.

Points clés

  • STRIDE est une fonction de forçage pour la pensée systématique, pas un modèle complet ; le livre apprend quand l'utiliser et quand changer de cadre (arbres d'attaque, personas attaquants, kill chains).
  • La plupart des « outils de threat modeling » sont du tableur-avec-diagrammes ; le vrai bénéfice est la conversation que ces outils structurent, pas le document.
  • Le threat modeling tient dans agile et fonctionne au tempo de la revue de PR une fois pratiqué trois ou quatre fois ; le livre l'argumente à coups d'exemples.
  • Le cadrage « real threats, practical defense » est le choix de design du livre et son mouvement pédagogique le plus fort ; chaque chapitre commence avec l'attaque et finit avec le pattern de code défensif.
  • La sécurité web est principalement les mêmes douze erreurs depuis deux décennies ; une fois la taxonomie connue, les variantes modernes sont reconnaissables.
  • Le chapitre sur la gestion de session et le chapitre sur le JS tiers sont les deux pièces au plus haut levier du livre pour les ingénieurs qui connaissent déjà les bases.

Comment ils se comparent

Nous notons Threat Modeling plus haut (5/5 contre 4/5 pour Web Security for Developers). Pour la plupart des lecteurs, Threat Modeling est le choix principal et Web Security for Developers un complément utile.

Threat Modeling vise le niveau intermédiaire. Web Security for Developers vise le niveau débutant. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

Threat Modeling et Web Security for Developers couvrent tous les deux Defensive, AppSec : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Threat Modeling

→ Alternatives à Threat Modeling→ Que lire après Threat Modeling

Web Security for Developers

→ Alternatives à Web Security for Developers→ Que lire après Web Security for Developers

Thématiques liées

DefensiveAppSec