Árboles de ataque y priorización de riesgos

Un árbol de ataque es un diagrama que representa cómo un atacante podría alcanzar un objetivo. El objetivo se sitúa en la raíz y las ramas muestran las distintas rutas y subpasos necesarios para alcanzarlo.

Mientras que STRIDE enumera los tipos de amenazas, los árboles de ataque exploran las rutas concretas que podría seguir un atacante. Son excelentes para razonar sobre un objetivo específico de gran valor.

El nodo raíz es el objetivo final del atacante, como «robar los datos de pago de los clientes». Los nodos hijos son los subobjetivos o métodos que permiten alcanzar el nodo principal.

El árbol se construye preguntando repetidamente: «¿Cómo podría un atacante lograr este objetivo?». Cada respuesta se convierte en un nodo hijo y se continúa descomponiendo hasta llegar a acciones concretas y ejecutables en las hojas.

Los árboles de ataque utilizan dos relaciones lógicas entre un nodo y sus hijos:

• Nodos OR — basta con alcanzar uno de los hijos para lograr el nodo principal (rutas alternativas)
• Nodos AND — es necesario alcanzar todos los hijos conjuntamente (pasos obligatorios)

Esta distinción es fundamental: un nodo OR significa que al atacante solo le hace falta seguir la ruta más sencilla, mientras que un nodo AND le obliga a superar todos los pasos.

Este es un árbol de ataque textual para robar datos de pago:

Los árboles de ataque resultan especialmente útiles cuando se anotan los nodos hoja con atributos que ayudan a establecer prioridades:

• Coste para el atacante
• Dificultad o conocimientos necesarios
• Detectabilidad (¿activará una alarma?)
• Probabilidad de éxito

A continuación, propague estos atributos hacia arriba en el árbol. En un nodo OR, el atacante elige el hijo más barato o sencillo, lo que revela su eslabón más débil.

Para establecer prioridades, necesita una puntuación de riesgo. La fórmula clásica combina dos factores:

DREAD es una forma estructurada de puntuar las amenazas en cinco dimensiones. Cada una recibe una valoración y después se combinan para obtener una puntuación de prioridad:

• Daño — ¿qué gravedad tiene el impacto?
• Reproducibilidad — ¿con qué fiabilidad puede repetirse?
• Explotabilidad — ¿qué facilidad hay para llevarlo a cabo?
• Afectación de usuarios — ¿a cuántas personas afecta?
• Descubribilidad — ¿qué facilidad hay para encontrarlo?

DREAD es algo subjetivo, por lo que debe utilizar definiciones de valoración coherentes en todo el equipo.

Una matriz de riesgos representa la probabilidad frente al impacto para ofrecer una visión inmediata de las prioridades:

Una vez clasificadas las amenazas, decida cómo gestionar cada una. Las cuatro opciones son las mismas que en la mitigación de STRIDE:

• Mitigar — añadir controles para reducir la probabilidad o el impacto
• Eliminar — retirar por completo la funcionalidad de riesgo
• Transferir — delegar el riesgo mediante un seguro o un tercero
• Aceptar — documentar formalmente la tolerancia de un riesgo bajo

Invierta primero su presupuesto limitado en los elementos de mayor riesgo; no sobredimensione las protecciones para amenazas de bajo riesgo.

Una medida de mitigación solo tiene sentido si su coste está justificado por el riesgo que reduce. Un control que cuesta más que el activo que protege es una mala inversión.

Para cada control candidato, evalúe:

• ¿Cuánto reduce el riesgo el control?
• ¿Cuánto cuesta desarrollarlo y operarlo?
• ¿Introduce fricción o nuevos riesgos?

Prefiera los controles que bloqueen varias rutas de ataque a la vez, como MFA, que cierra muchas ramas de toma de control de cuentas.

La priorización no es un ejercicio que se realice una sola vez. Registre cada amenaza identificada en un registro de riesgos, junto con su puntuación, la respuesta elegida, la persona responsable y el estado.

Revise el registro cuando:

• Surja una nueva amenaza o vulnerabilidad
• Cambie el valor del sistema o de sus activos
• Se implemente una medida de mitigación (vuelva a puntuar el riesgo residual)

Los riesgos aceptados deben tener una fecha de caducidad y revisarse de nuevo; no deben aceptarse y olvidarse.

Compruebe su comprensión de los árboles de ataque y la priorización de riesgos.

Aprendió a clasificar las amenazas y elegir medidas de mitigación:

• Los árboles de ataque representan las rutas hacia el objetivo de un atacante mediante nodos AND (todos son necesarios) y OR (cualquiera es suficiente)
• Anote los nodos con el coste, la dificultad y la detectabilidad para encontrar el eslabón más débil
• Establezca prioridades mediante Riesgo = Probabilidad x Impacto, la puntuación DREAD y una matriz de riesgos
• Elija entre mitigar, eliminar, transferir o aceptar, valorando el coste frente al beneficio
• Realice el seguimiento de todo en un registro de riesgos y revíselo a medida que evolucione el sistema

Con esto finaliza el curso Modelado de amenazas con STRIDE.