Modelado de amenazas

Modelado de Amenazas

Modelar amenazas es hacer preguntas sobre un sistema concreto antes de que los problemas nos las hagan a nosotros. No hace falta acertar cada futuro posible para encontrar una frontera de confianza mal puesta. (・_・?)

Atacar a un pequeño negocio es diferente de atacar a una agencia gubernamental, cada uno tiene activos distintos y diferentes protocolos de defensa. Para anticipar estos ataques, realizamos el modelado de amenazas.

Este es un proceso en el cual se identifican los activos, sus vulnerabilidades y cómo cada uno se expone a amenazas.

Se puede empezar con un diagrama y preguntas sencillas, e incorporar especialistas según complejidad. No hay que esperar a tener un título senior para documentar supuestos y límites.

Frameworks

Hay diversos modelos, algunos mejores para InfoSec, otros para NetSec, etc. Este apunte usa seis pasos como guía didáctica; no son una secuencia común obligatoria de todos los métodos:

1. Definir el alcance:

   • Determinar qué se va a construir al hacer un inventario de activos y clasificarlos.

2. Identificar amenazas:

   • Identificar actores relevantes y supuestos; no es posible garantizar una lista de todos los adversarios futuros.
   • Un árbol de ataque, si se utiliza, descompone un objetivo del adversario en alternativas o condiciones. No es simplemente un inventario de activos con amenazas.

3. Caracterizar el ambiente:

   • Aplicar la mentalidad del atacante, considerando cómo los empleados y usuarios interactúan con el ambiente.
   • Considerar también agentes externos y terceros.

4. Analizar amenazas:

   • Examinar las protecciones existentes e identificar agujeros.

5. Mitigar riesgos:

   • Crear un plan de defensa ante cada amenaza.
   • Las opciones son evitar riesgo, transferirlo, reducirlo o aceptarlo.

6. Evaluación:

   • Todo lo realizado en el ejercicio se documenta, se aplican los arreglos y se anota cualquier suceso, ya sea eventos o lecciones aprendidas, para poder informar y saber cómo realizar un futuro modelado de amenazas.

---

PASTA

Process for Attack Simulation and Threat Analysis

Es un framework de modelado de amenazas con 7 etapas:

• Definir los objetivos del negocio y seguridad:

  • Por ejemplo en una pequeña app de fitness, podemos proteger la informacion confidencial de usuarios

• Definir el alcance técnico:

  • Identificar los componentes de la aplicación que debemos evaluar (superficie de ataque).

• Decomponer la aplicación:

  • Identificar también los controles que tenemos para protegernos.
  • Generar un diagrama del flujo de la información.

• Analizar amenazas:

  • Entrar en la mentalidad del atacante.
  • Recolectar información actualizada sobre los ataques comunes.

• Análisis de vulnerabilidad:

  • Investigar las potenciales vulnerabilidades considerando la raíz del problema.

• Modelado de ataque:

  • Probar las vulnerabilidades analizadas en el paso anterior a través de la simulación de ataques.
  • Se crea el árbol de ataques.

• Analizar riesgo e impacto:

  • Recolectar información para poder realizar recomendaciones.

STRIDE

Desarrollado por Microsoft, se centra en 6 categorías:

• Spoofing: Suplantación.
• Tampering: Manipulación.
• Repudiation: Repudio.
• Information Disclosure: Divulgación de información.
• Denial of Service: Denegación de servicio.
• Elevation of Privilege: Elevación de privilegios.

---

Trike

Es de código abierto y adopta un enfoque centrado en la seguridad para el modelado de amenazas. Se enfoca comúnmente en permisos de seguridad, casos de uso de aplicaciones, modelos de privilegios y otros.

La enumeración anterior de tres elementos no se presenta como definición oficial de Trike: falta contrastar el documento original de la metodología.

VAST

Es parte de una plataforma automatizada de modelado llamada ThreatModeler, escalable a nivel empresarial. VAST significa:

• Visual
• Agile
• Simple Threat modeling.

Engloba todo el ciclo de desarrollo del software, utilizando la automatización, integración y colaboración.

Véase también

• Activos — Inventario de activos para definir qué se protege.

Fuentes: OWASP, modelado, Microsoft, STRIDE, VerSprite, etapas de PASTA y ThreatModeler, VAST.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: c01bc175eee2          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+