A estrutura STRIDE

STRIDE é uma estrutura de categorização de ameaças desenvolvida pela Microsoft. Ela fornece seis categorias de ameaças para que você possa perguntar sistematicamente «o que poderia dar errado?» para cada componente de um sistema.

STRIDE é um mnemônico para os seis tipos de ameaça:

• S falsificação de identidade
• T adulteração
• R repúdio
• I divulgação de informações
• D negação de serviço
• E elevação de privilégios

Cada categoria do STRIDE representa a violação de uma propriedade de segurança desejável. Essa associação ajuda você a se lembrar do que cada ameaça ataca:

Falsificação de identidade é fingir ser alguém ou algo que você não é. Ela viola a autenticação.

Exemplos:

• Acessar o sistema com credenciais roubadas
• Forjar o endereço «De» de um e-mail
• Configurar uma página falsa de acesso para coletar senhas
• Personificar um servidor confiável

Medidas de mitigação típicas: autenticação robusta, autenticação multifator, TLS mútuo e assinaturas digitais.

Adulteração é a modificação não autorizada de dados ou código. Ela viola a integridade.

Exemplos:

• Alterar um campo de preço em uma solicitação HTTP antes do envio
• Modificar um registro do banco de dados sem autorização
• Injetar código malicioso em uma atualização de software
• Alterar um arquivo de registro para ocultar atividades

Medidas de mitigação: validação de entradas, verificações de integridade (resumos criptográficos/HMAC), assinatura de código e controles de acesso.

Repúdio ocorre quando um usuário nega ter realizado uma ação e o sistema não consegue provar o contrário. Ele viola o não repúdio.

Exemplo: um usuário realiza uma transação fraudulenta, depois afirma que nunca a realizou, e não existem registros que comprovem o fato.

Medidas de mitigação:

• Registro abrangente de auditoria resistente a adulterações
• Assinaturas digitais em ações críticas
• Marcas de tempo seguras e encaminhamento de registros para um armazenamento de gravação única

Divulgação de informações é expor dados a pessoas que não deveriam vê-los. Ela viola a confidencialidade.

Exemplos:

• Um banco de dados não criptografado expondo registros de clientes
• Mensagens de erro detalhadas revelando rastreamentos da pilha ou consultas
• Um armazenamento em nuvem configurado incorretamente e exposto ao público
• Dados confidenciais enviados por HTTP sem criptografia

Medidas de mitigação: criptografia durante o trânsito e em repouso, acesso com o mínimo de privilégios e tratamento cuidadoso de erros.

Negação de serviço (DoS) é tornar um sistema indisponível para usuários legítimos. Ela viola a disponibilidade.

Exemplos:

• Inundar um servidor com tráfego (ataque distribuído de negação de serviço)
• Uma única consulta dispendiosa esgotando os recursos do banco de dados
• Preencher o espaço em disco com envios de arquivos
• Acionar um laço infinito ou um vazamento de recursos

Medidas de mitigação: limitação de taxa, cotas, limites de tamanho das entradas, escalonamento automático e proteção contra ataques distribuídos de negação de serviço na infraestrutura anterior.

Elevação de privilégios é obter capacidades além daquelas que você está autorizado a ter. Ela viola a autorização.

Exemplos:

• Um usuário comum acessando um ponto de acesso administrativo
• Explorar um erro para executar código como superusuário
• Alterar a própria função por meio de um parâmetro manipulado
• Sair de um contêiner para alcançar o sistema hospedeiro

Medidas de mitigação: aplicar a autorização a cada solicitação, seguir o princípio do mínimo privilégio e usar isolamento em área restrita.

O poder do STRIDE vem de sua aplicação metódica. Para cada elemento no diagrama do seu projeto, percorra as seis categorias e pergunte se aquela ameaça se aplica.

Há duas maneiras de aplicar STRIDE:

• STRIDE por elemento — analisar cada componente (processo, armazenamento de dados, entidade externa) em relação aos tipos de ameaça relevantes
• STRIDE por interação — analisar cada fluxo de dados entre os elementos

Nem toda ameaça se aplica a todo elemento. Por exemplo, os armazenamentos de dados raramente «falsificam» identidades, mas são alvos principais de adulteração e divulgação de informações. Use o subconjunto relevante para cada elemento.

STRIDE combina naturalmente com uma estratégia de mitigação. Para cada ameaça identificada, você escolhe uma de quatro respostas:

• Mitigar — adicionar um controle para reduzir o risco
• Eliminar — remover o recurso ou componente que o causa
• Transferir — transferir o risco (seguro, terceiro)
• Aceitar — tolerar conscientemente um risco baixo

Documente a decisão para cada ameaça, para que nada seja ignorado em silêncio.

Você aprendeu a estrutura STRIDE:

• S falsificação de identidade (autenticação), T adulteração (integridade), R repúdio (não repúdio)
• I divulgação de informações (confidencialidade), D negação de serviço (disponibilidade), E elevação de privilégios (autorização)
• Cada categoria viola uma propriedade de segurança específica
• Aplique STRIDE metodicamente por elemento ou por interação
• Para cada ameaça, decida se deve mitigá-la, eliminá-la, transferi-la ou aceitá-la

Em seguida, você mapeará os fluxos de dados e os limites de confiança para saber onde aplicar STRIDE.