Security Champions e Modelagem de Ameaças

Um responsável de segurança é um desenvolvedor ou engenheiro integrado a uma equipe de produto que atua como elo com a área de segurança. Ele não é um profissional de segurança completo, mas recebeu treinamento adicional em segurança e promove práticas de segurança dentro da equipe.

Um programa de responsáveis amplia o conhecimento de segurança em toda a organização:

• 1 ou 2 responsáveis por equipe de produto
• Treinamentos regulares e reuniões com a equipe de segurança
• Responsabilidade pelas revisões de segurança na própria equipe
• Conexão de comunicação entre as equipes de desenvolvimento e segurança
• Redução do gargalo causado por revisões de segurança centralizadas

Modelagem de ameaças é uma análise estruturada de possíveis ameaças a um sistema antes de sua construção. Ela responde:

• O que estamos construindo?
• O que pode dar errado?
• O que faremos a respeito?
• Fizemos um trabalho suficientemente bom?

STRIDE é a taxonomia mais comum de modelagem de ameaças:

• Spoofing — personificação de outro usuário ou sistema
• Tampering — modificação de dados ou código
• Repudiation — negação da realização de uma ação
• Information disclosure — exposição de dados a partes não autorizadas
• Denial of service — interrupção da disponibilidade
• Elevation of privilege — obtenção de permissões não autorizadas

A modelagem de ameaças começa com um Diagrama de Fluxo de Dados que mostra:

• Processos — componentes da aplicação
• Armazenamentos de dados — bancos de dados, arquivos, memórias temporárias
• Entidades externas — usuários, interfaces de programação de aplicações de terceiros
• Fluxos de dados — como os dados se movem entre os componentes
• Fronteiras de confiança — onde o privilégio muda

Aplique cada categoria do STRIDE a cada elemento:

• Em cada cruzamento de uma fronteira de confiança: Falsificação, Adulteração
• Em cada armazenamento de dados: Adulteração, Divulgação de informações
• Em cada processo: todas as categorias do STRIDE se aplicam
• Para cada fluxo de dados: Adulteração, Divulgação de informações

PASTA é uma metodologia de modelagem de ameaças centrada em riscos, composta por sete etapas:

1. Definição dos objetivos de negócio
2. Definição do escopo técnico
3. Decomposição da aplicação
4. Análise de ameaças
5. Análise de vulnerabilidades e fraquezas
6. Modelagem de ataques
7. Análise de riscos e impactos

Faça a modelagem de ameaças:

• Ao projetar novos recursos ou sistemas
• Quando a arquitetura mudar significativamente
• Após um incidente de segurança (atualize o modelo)
• Anualmente para sistemas críticos

A modelagem precoce de ameaças evita retrabalho dispendioso — as mudanças na arquitetura são baratas antes da escrita do código.

Ferramentas para modelagem de ameaças:

• OWASP Threat Dragon — editor de DFD gratuito baseado na web
• Microsoft Threat Modeling Tool — focado em STRIDE, baseado no Windows
• IriusRisk — voltado para empresas, integra-se ao Jira
• draw.io — DFDs manuais simples

Os campeões de segurança tornam a modelagem de ameaças acessível:

• Apresente as ameaças como histórias de usuário: "Como atacante, posso..."
• Relacione as ameaças ao OWASP Top 10 para facilitar o entendimento
• Crie tarefas de requisitos de segurança na mesma lista de pendências
• Meça a dívida de segurança juntamente com a dívida técnica

Entregáveis de uma modelagem de ameaças:

• Registro de ameaças contendo todas as ameaças identificadas
• Classificação de risco por ameaça (probabilidade × impacto)
• Medidas de mitigação para cada ameaça
• Requisitos de segurança para a lista de pendências
• DFD documentado e armazenado junto com os documentos de projeto

Os campeões de segurança incorporam conhecimento de segurança às equipes de produto, ampliando a segurança sem criar gargalos. A modelagem de ameaças (STRIDE, PASTA) identifica ameaças antes da escrita do código usando Diagramas de Fluxo de Dados. Categorias do STRIDE: Falsificação, Adulteração, Repúdio, Divulgação de informações, Negação de serviço, Elevação de privilégio. Resultado: registro de ameaças com classificações de risco e tarefas de segurança na lista de pendências.