Por qué importa el modelado de amenazas

El modelado de amenazas es la práctica estructurada de identificar qué puede salir mal en un sistema antes de que los atacantes lo descubran por usted. Analiza un diseño, enumera las posibles amenazas y decide cómo mitigarlas.

Responde a cuatro preguntas fundamentales:

• ¿Qué estamos construyendo?
• ¿Qué puede salir mal?
• ¿Qué vamos a hacer al respecto?
• ¿Hemos hecho un buen trabajo?

El modelado de amenazas incorpora el principio de shift left: abordar la seguridad en una fase temprana del ciclo de desarrollo, en lugar de hacerlo después del despliegue.

El coste de corregir un defecto aumenta considerablemente cuanto más tarde se detecta:

• Fase de diseño — cambiar un diagrama, prácticamente gratis
• Desarrollo — reescribir parte del código
• Producción — parche de emergencia, incidente y posible brecha

Detectar un defecto de diseño antes de escribir una sola línea de código es la corrección más barata disponible.

El modelado de amenazas obliga a cambiar deliberadamente de perspectiva: deje de pensar en cómo debería funcionar el sistema y empiece a pensar en cómo se puede utilizar indebidamente.

Los defensores se centran naturalmente en las funcionalidades y los flujos normales. Los atacantes buscan:

• Entradas que no se validan
• Suposiciones de confianza que se pueden romper
• Pasos que se pueden omitir o repetir
• Datos que deberían protegerse, pero no lo están

El modelado convierte este pensamiento desde la perspectiva del atacante en un proceso sistemático, en lugar de dejarlo al azar.

Tres términos fundamentan todo modelo de amenazas. Manténgalos diferenciados:

• Activo — algo de valor que merece protección (datos de clientes, credenciales, disponibilidad)
• Amenaza — un posible evento o actor perjudicial (un atacante que roba los datos)
• Vulnerabilidad — una debilidad que permite que una amenaza tenga éxito (la falta de una comprobación de acceso)

El riesgo aparece cuando una amenaza puede aprovechar una vulnerabilidad contra un activo valioso.

No puede proteger aquello que no ha identificado. Empiece cada modelo de amenazas enumerando lo que es importante.

Categorías habituales de activos:

El modelado de amenazas es más valioso en momentos concretos, no como una actividad puntual:

• Al diseñar un sistema o funcionalidad nuevos
• Al realizar un cambio significativo en la arquitectura
• Al añadir un nuevo límite de confianza (una nueva integración o API externa)
• Después de un incidente de seguridad para detectar deficiencias relacionadas

Los equipos maduros lo tratan como una actividad continua y revisan el modelo a medida que evoluciona el sistema.

El modelado de amenazas es un trabajo en equipo. Un modelo creado por una sola persona omite demasiado contexto.

Una sesión eficaz incluye:

• Desarrolladores que conocen el funcionamiento real del sistema
• Arquitectos que comprenden la intención del diseño
• Ingenieros de seguridad que conocen los patrones de ataque
• Responsables de producto que comprenden el impacto empresarial

La combinación de perspectivas permite descubrir amenazas que ninguna función individual detectaría.

Existen varias metodologías estructuradas; puede combinarlas según sea necesario:

• STRIDE — clasifica las amenazas por tipo; es ideal para diseños técnicos (se trata en la siguiente lección)
• PASTA — se centra en el riesgo y relaciona las amenazas con el impacto empresarial
• Árboles de ataque — modelan los objetivos y las rutas de los atacantes
• DREAD — un modelo de puntuación para priorizar el riesgo

STRIDE es el punto de partida que más se enseña porque es sistemático y accesible.

Un modelo de amenazas solo es útil si produce resultados prácticos. Normalmente, los entregables incluyen:

• Un diagrama del sistema y sus límites de confianza
• Una lista de amenazas identificadas, clasificadas por categorías
• Una evaluación del riesgo para cada amenaza
• Medidas de mitigación o decisiones de aceptación del riesgo
• Elementos de acción asignados a responsables

Un modelo de amenazas que termina en un documento sobre el que nadie actúa ha fracasado.

Los esfuerzos de modelado de amenazas suelen fracasar de formas previsibles. Evite estas trampas:

• Intentar abarcarlo todo — tratar de modelar el sistema completo de una vez; delimite bien el alcance
• Parálisis por análisis — debates interminables sin tomar decisiones
• Tratarlo como un requisito burocrático — elaborar un documento para satisfacer a un auditor y no actuar nunca en consecuencia
• Falta de seguimiento — identificar amenazas, pero no hacer un seguimiento de las mitigaciones

Mantenga el alcance definido, establezca un límite de tiempo y vincule el trabajo a elementos de acción reales.

Si nunca ha realizado un modelado de amenazas, empiece con este procedimiento sencillo:

• Dibuje un diagrama simple del sistema y de sus flujos de datos
• Marque dónde atraviesan los datos un límite de confianza
• Para cada límite, pregunte qué podría hacer un atacante
• Anote las principales amenazas y una medida de mitigación para cada una
• Asigne responsables y vuelva a revisarlo más adelante

Incluso una sesión de 30 minutos ante una pizarra permite detectar problemas que, de otro modo, llegarían a producción.

Ponga a prueba su comprensión de los fundamentos del modelado de amenazas.

Ha aprendido por qué es importante el modelado de amenazas:

• El modelado de amenazas permite responder de forma estructurada qué puede salir mal antes de que lo descubran los atacantes
• Desplaza la seguridad hacia la izquierda, lo que hace que corregir los problemas sea mucho más barato
• Diferencie entre activos, amenazas y vulnerabilidades; el riesgo surge de la intersección entre ellos
• Realice el modelado durante el diseño y ante cambios importantes, con un equipo multidisciplinario
• Evite errores como intentar abarcarlo todo y no hacer seguimiento; genere siempre resultados prácticos

A continuación, aprenderá el marco STRIDE para clasificar amenazas.