Modelagem de Ameaças com STRIDE e PASTA

A modelagem de ameaças é um processo estruturado para identificar, priorizar e tratar ameaças à segurança de um sistema antes do desenvolvimento ou durante a revisão do projeto. Ela responde a estas perguntas: O que estamos construindo? O que pode dar errado? Como podemos corrigir isso? Qual é a qualidade do resultado?

Faça a modelagem de ameaças durante o projeto (maior valor e menor custo de correção), durante o desenvolvimento de funcionalidades importantes, após mudanças arquiteturais e periodicamente em sistemas de produção. O custo para corrigir uma falha de projeto encontrada na modelagem de ameaças é 60 vezes menor do que encontrá-la em produção.

STRIDE é uma estrutura mnemônica de classificação de ameaças desenvolvida pela Microsoft. Cada letra representa uma categoria de ameaça: falsificação de identidade, adulteração, repúdio, divulgação de informações, negação de serviço e elevação de privilégio. Aplique STRIDE sistematicamente a cada componente da sua arquitetura.

Falsificação de identidade: um invasor pode se passar por um usuário, serviço ou componente legítimo? Medidas de proteção: autenticação robusta e certificados. Adulteração: um invasor pode modificar dados em trânsito ou em repouso? Medidas de proteção: assinaturas digitais, códigos de autenticação de mensagens baseados em hash, verificações de integridade e TLS.

Repúdio: um usuário pode negar ter realizado uma ação? Medida de proteção: registro de auditoria e assinaturas digitais. Divulgação de informações: dados sensíveis podem ser expostos? Medida de proteção: criptografia e controle de acesso. Negação de serviço: a disponibilidade pode ser interrompida? Medida de proteção: limitação de taxa, redundância e validação de entrada.

Um invasor pode obter privilégios superiores aos pretendidos? Mapeie todos os níveis de privilégio do seu sistema. Verifique: um usuário com poucos privilégios pode acessar funcionalidades administrativas? Um processo de usuário pode escapar do seu ambiente isolado? Cada caminho de escalação exige uma medida de proteção de controle de acesso.

Crie um DFD que mostre processos, armazenamentos de dados, entidades externas e fluxos de dados, com os limites de confiança assinalados. Cada elemento e cada cruzamento de um limite de confiança gera ameaças STRIDE. Os DFD fornecem a estrutura sistemática que impede que superfícies de ataque sejam esquecidas.

O Processo de Simulação de Ataques e Análise de Ameaças (PASTA) é uma metodologia de modelagem de ameaças centrada em riscos, com sete etapas: definir objetivos, definir o escopo técnico, decompor a aplicação, analisar ameaças, identificar vulnerabilidades, enumerar ataques e realizar uma análise de riscos com contramedidas.

STRIDE é focado em componentes — gera ameaças sistematicamente a partir de um DFD. PASTA é focado em riscos — começa pelos objetivos empresariais e chega às ameaças técnicas. STRIDE funciona bem em equipes de desenvolvimento; PASTA se alinha melhor à gestão de riscos e à comunicação com executivos.

As árvores de ataque decompõem um objetivo de ameaça principal (por exemplo, "roubar token de autenticação") em subárvores de caminhos de ataque alternativos. Cada folha representa um ataque específico e concreto. A lógica booleana (AND/OR) indica se todas ou quaisquer subcondições precisam ser verdadeiras para que o ataque seja bem-sucedido.

O Dragão de Ameaças da OWASP é uma ferramenta gratuita e de código aberto para modelagem de ameaças baseada em DFD. A Ferramenta de Modelagem de Ameaças da Microsoft inclui um mecanismo baseado em STRIDE. IriusRisk e ThreatModeler são opções comerciais que se integram ao Jira e a fluxos de integração e entrega contínuas para a modelagem contínua de ameaças.

Qual ameaça STRIDE é mitigada pela implementação de registros de auditoria robustos e assinaturas digitais?

A modelagem de ameaças com STRIDE gera sistematicamente ameaças a partir de diagramas de fluxo de dados, enquanto PASTA adota uma abordagem centrada em riscos que começa pelos objetivos empresariais. Ambas produzem listas priorizadas de ameaças que orientam a seleção de controles de segurança antes que o código seja escrito ou implantado.