Diagramas de flujo de datos y límites de confianza

No puede encontrar amenazas en un sistema que no comprende. Un diagrama de flujo de datos (DFD) es la base del modelado de amenazas: muestra visualmente cómo se desplazan los datos por el sistema.

El diagrama hace explícitas las suposiciones implícitas. Cuando puede ver adónde van los datos y quién interactúa con ellos, resulta mucho más fácil detectar las amenazas.

Un DFD utiliza solo cuatro componentes básicos. Manténgalos sencillos:

• Entidad externa — una persona o un sistema que está fuera de su control (un usuario, una API de terceros)
• Proceso — algo que transforma datos (un servicio, una función)
• Almacén de datos — el lugar donde se almacenan los datos (una base de datos, un archivo, una caché)
• Flujo de datos — el movimiento de datos entre elementos (una flecha)

Casi cualquier sistema puede representarse con estas cuatro formas.

Los DFD utilizan formas convencionales para que cualquiera pueda interpretarlos:

Considere una aplicación web básica. Su DFD podría verse así en formato de texto:

Un límite de confianza es cualquier línea del diagrama donde cambia el nivel de confianza. En un lado, los datos o los autores de las llamadas son de confianza; en el otro, no lo son.

Los límites de confianza son el elemento más relevante para la seguridad de un DFD, porque indican dónde:

• Se deben validar los datos
• Se debe autenticar y autorizar a los autores de las llamadas
• Cambian los niveles de privilegio

La mayoría de las vulnerabilidades se encuentran exactamente donde los datos atraviesan un límite de confianza.

Cuando empieza a buscarlos, descubre que los límites de confianza están por todas partes. Algunos ejemplos habituales:

• De Internet a su aplicación (llegan entradas de usuario que no son de confianza)
• De la aplicación a la base de datos
• Entre un proceso de bajo privilegio y uno de alto privilegio
• Entre su sistema y una API de terceros
• Entre un contenedor y el host
• A través de segmentos de red (de la DMZ a la red interna)

Cada límite merece un análisis explícito.

Añada los límites de confianza como líneas discontinuas que atraviesen los flujos de datos a los que afectan. En nuestra aplicación web:

Los límites de confianza conectan esta lección con STRIDE. Los flujos de datos que atraviesan un límite son el foco de su análisis de STRIDE.

En el límite entre Internet y la aplicación, pregunte:

• Spoofing — ¿está autenticado el autor de la llamada?
• Tampering — ¿se han validado los datos de entrada?
• Information disclosure — ¿está cifrado el canal?
• Denial of service — ¿existe una limitación de velocidad?

Los límites convierten un marco abstracto en preguntas concretas.

Un DFD puede ser demasiado vago o demasiado detallado. Ambos enfoques fracasan.

• Demasiado general — un único cuadro con la etiqueta «el sistema» oculta todos los límites relevantes
• Demasiado detallado — incluir cada función y variable, lo que le inunda de ruido

Apunte al nivel en el que sean visibles cada componente principal y cada límite de confianza. Utilice DFD por capas: un diagrama de contexto para todo el sistema y, después, desglose por separado los procesos complejos.

Un DFD dibujado por una sola persona suele contener suposiciones incorrectas. Revíselo con las personas que desarrollaron el sistema.

Haga preguntas concretas:

• ¿Es esta realmente la única forma en que los datos llegan a la base de datos?
• ¿Hay rutas administrativas o por lotes que no se muestren aquí?
• ¿Hay algo que omita este paso de autenticación?
• ¿Existen copias en caché de estos datos en algún otro lugar?

Los flujos de datos ocultos son una fuente frecuente de vulnerabilidades que no se detectan.

Los sistemas cambian y un DFD desactualizado puede inducir a error. Un diagrama obsoleto es peor que no tener ninguno, porque crea una falsa sensación de seguridad.

Actualice el DFD cuando:

• Se añada una nueva integración o dependencia externa
• Aparezca un nuevo almacén de datos
• Cambie el modelo de confianza (un servicio se traslade a una nueva zona de red)

Trate el DFD como documentación viva que evoluciona junto con el sistema, no como un artefacto que se crea una sola vez.

Aprendió a representar sistemas para el modelado de amenazas:

• Un DFD utiliza cuatro elementos: entidades externas, procesos, almacenes de datos y flujos de datos
• Los límites de confianza indican dónde cambia la confianza y dónde se encuentran la mayoría de las vulnerabilidades
• Los flujos de datos que atraviesan un límite son el foco del análisis STRIDE
• Elija el nivel de detalle adecuado y utilice diagramas por capas
• Valide el DFD con el equipo y manténgalo actualizado

A continuación, clasificará las amenazas con árboles de ataque y priorizará las medidas de mitigación.