Diagramas de fluxo de dados e limites de confiança

Você não pode encontrar ameaças em um sistema que não entende. Um Diagrama de Fluxo de Dados (DFD) é a base da modelagem de ameaças: ele mapeia visualmente como os dados se movem pelo sistema.

O diagrama torna explícitas as premissas implícitas. Quando você consegue ver para onde os dados vão e quem interage com eles, fica muito mais fácil identificar as ameaças.

Um DFD usa apenas quatro blocos básicos. Mantenha-os simples:

• Entidade externa — uma pessoa ou sistema fora do seu controle (usuário, API de terceiros)
• Processo — algo que transforma dados (um serviço, uma função)
• Armazenamento de dados — onde os dados permanecem armazenados (banco de dados, arquivo, memória cache)
• Fluxo de dados — o movimento de dados entre os elementos (uma seta)

Quase qualquer sistema pode ser representado com essas quatro formas.

Os DFDs usam formas convencionais para que qualquer pessoa possa lê-los:

Considere uma aplicação web básica. Seu DFD poderia ser assim em forma de texto:

Um limite de confiança é qualquer linha no seu diagrama onde o nível de confiança muda. De um lado, os dados ou chamadores são confiáveis; do outro, não são.

Os limites de confiança são o recurso mais relevante para a segurança em um DFD, pois indicam onde:

• Os dados devem ser validados
• Os chamadores devem ser autenticados e autorizados
• Os níveis de privilégio mudam

A maioria das vulnerabilidades surge exatamente onde os dados atravessam um limite de confiança.

Quando você começa a procurar, percebe que os limites de confiança estão em toda parte. Exemplos comuns:

• A internet e sua aplicação (a entrada não confiável do usuário chega)
• A aplicação e o banco de dados
• Entre um processo com poucos privilégios e um com muitos privilégios
• Entre o seu sistema e uma API de terceiros
• Entre um contêiner e o sistema hospedeiro
• Através de segmentos de rede (da DMZ à rede interna)

Cada limite merece uma análise explícita.

Adicione limites de confiança como linhas tracejadas que atravessem os fluxos de dados afetados. Em nossa aplicação web:

Os limites de confiança conectam esta lição ao STRIDE. Os fluxos de dados que atravessam um limite são o foco da sua análise STRIDE.

No limite entre a internet e a aplicação, pergunte:

• Falsificação de identidade — o chamador está autenticado?
• Adulteração — a entrada foi validada?
• Divulgação de informações — o canal está criptografado?
• Negação de serviço — existe limitação de taxa?

Os limites transformam uma estrutura abstrata em perguntas concretas.

Um DFD pode ser vago demais ou detalhado demais. Ambos fracassam.

• Nível muito alto — uma caixa rotulada como «o sistema» oculta todos os limites relevantes
• Detalhado demais — cada função e variável, gerando ruído em excesso

Busque o nível em que cada componente importante e cada limite de confiança estejam visíveis. Use DFDs em camadas: um diagrama de contexto para o sistema inteiro e, depois, detalhe separadamente os processos complexos.

Um DFD desenhado por uma única pessoa geralmente contém premissas incorretas. Percorra-o com as pessoas que construíram o sistema.

Faça perguntas detalhadas:

• Essa é realmente a única maneira de os dados chegarem ao banco de dados?
• Há caminhos administrativos ou em lote que não aparecem aqui?
• Algo contorna esta etapa de autenticação?
• Existem cópias desses dados armazenadas em cache em outro lugar?

Fluxos de dados ocultos são uma fonte frequente de vulnerabilidades não identificadas.

Os sistemas mudam, e um DFD desatualizado se torna enganoso. Um diagrama desatualizado é pior do que nenhum, pois cria uma falsa sensação de confiança.

Atualize o DFD quando:

• Uma nova integração ou dependência externa for adicionada
• Um novo armazenamento de dados surgir
• O modelo de confiança mudar (um serviço for transferido para uma nova zona de rede)

Trate o DFD como uma documentação que evolui junto com o sistema, não como um artefato criado uma única vez.

Você aprendeu a mapear sistemas para a modelagem de ameaças:

• Um DFD usa quatro elementos: entidades externas, processos, armazenamentos de dados e fluxos de dados
• Os limites de confiança indicam onde a confiança muda e onde vive a maioria das vulnerabilidades
• Os fluxos de dados que atravessam um limite são o foco da sua análise STRIDE
• Escolha o nível adequado de granularidade e use diagramas em camadas
• Valide o DFD com a equipe e mantenha-o atualizado

Em seguida, você classificará as ameaças com árvores de ataque e priorizará as medidas de mitigação.