Por que a modelagem de ameaças é importante

A modelagem de ameaças é a prática estruturada de identificar o que pode dar errado em um sistema antes que os atacantes descubram isso por você. Você analisa um projeto, enumera as ameaças possíveis e decide como mitigá-las.

Ela responde a quatro perguntas fundamentais:

• O que estamos construindo?
• O que pode dar errado?
• O que faremos a respeito?
• Fizemos um bom trabalho?

A modelagem de ameaças incorpora o princípio de antecipar a segurança: tratar da segurança no início do ciclo de vida do desenvolvimento, em vez de fazê-lo após a implantação.

O custo de corrigir uma falha aumenta muito quanto mais tarde ela for encontrada:

• Fase de projeto — alterar um diagrama, praticamente sem custo
• Desenvolvimento — reescrever parte do código
• Produção — correção emergencial, incidente e possível violação

Encontrar uma falha de projeto antes que uma única linha de código seja escrita é a correção mais barata disponível.

A modelagem de ameaças força uma mudança deliberada de perspectiva: pare de pensar em como o sistema deveria funcionar e comece a pensar em como ele pode ser explorado de forma indevida.

Os defensores naturalmente se concentram nos recursos e nos caminhos esperados. Os atacantes procuram:

• Entradas que não são validadas
• Pressupostos de confiança que podem ser quebrados
• Etapas que podem ser ignoradas ou repetidas
• Dados que deveriam ser protegidos, mas não são

A modelagem torna esse pensamento do ponto de vista do adversário sistemático, em vez de acidental.

Três termos fundamentam toda modelagem de ameaças. Mantenha-os distintos:

• Ativo — algo de valor que merece ser protegido (dados de clientes, credenciais, disponibilidade)
• Ameaça — um evento ou agente potencialmente nocivo (um atacante roubando os dados)
• Vulnerabilidade — uma fraqueza que permite que uma ameaça tenha sucesso (uma verificação de acesso ausente)

O risco surge quando uma ameaça pode explorar uma vulnerabilidade contra um ativo valioso.

Não é possível proteger o que não foi identificado. Comece toda modelagem de ameaças listando o que é importante.

Categorias comuns de ativos:

A modelagem de ameaças é mais valiosa em momentos específicos, não como um evento pontual:

• Ao projetar um novo sistema ou recurso
• Ao fazer uma mudança significativa na arquitetura
• Ao adicionar um novo limite de confiança (uma nova integração ou API externa)
• Após um incidente de segurança, para encontrar lacunas relacionadas

Equipes maduras tratam essa atividade como contínua, revisitando o modelo à medida que o sistema evolui.

A modelagem de ameaças é um trabalho de equipe. Uma modelagem feita por uma só pessoa deixa de captar contexto demais.

Uma sessão eficaz inclui:

• Desenvolvedores que sabem como o sistema realmente funciona
• Arquitetos que entendem a intenção do projeto
• Engenheiros de segurança que conhecem padrões de ataque
• Responsáveis pelo produto que entendem o impacto no negócio

A combinação de perspectivas é o que revela ameaças que nenhuma função isolada perceberia.

Existem várias metodologias estruturadas; você pode combiná-las conforme necessário:

• STRIDE — categoriza as ameaças por tipo; é excelente para projetos técnicos (abordada na próxima lição)
• PASTA — centrada em riscos, relaciona as ameaças ao impacto nos negócios
• Árvores de ataque — modelam os objetivos e os caminhos dos invasores
• DREAD — um modelo de pontuação para priorizar riscos

STRIDE é o ponto de partida mais ensinado porque é sistemática e acessível.

Um modelo de ameaças só é útil se produzir resultados que permitam agir. Os materiais entregues normalmente incluem:

• Um diagrama do sistema e de seus limites de confiança
• Uma lista de ameaças identificadas, categorizadas
• Uma classificação de risco para cada ameaça
• Medidas de mitigação ou decisões de aceitação do risco
• Itens de ação atribuídos aos responsáveis

Um modelo de ameaças que termina em um documento sobre o qual ninguém age fracassou.

Os esforços de modelagem de ameaças costumam fracassar de maneiras previsíveis. Evite estas armadilhas:

• Tentar abranger tudo — tentar modelar o sistema inteiro de uma só vez; delimite bem o escopo
• Paralisia por análise — discussão interminável sem decisões
• Tratá-la como mera formalidade — produzir um documento para satisfazer um auditor, sem nunca agir com base nele
• Não dar continuidade — identificar ameaças, mas nunca acompanhar as medidas de mitigação

Mantenha o escopo definido, estabeleça um limite de tempo e vincule o trabalho a itens de ação reais.

Se você nunca fez modelagem de ameaças, comece aos poucos com este roteiro simples:

• Desenhe um diagrama simples do seu sistema e dos fluxos de dados
• Marque onde os dados atravessam um limite de confiança
• Para cada limite, pergunte o que um invasor poderia fazer
• Anote as principais ameaças e uma medida de mitigação para cada uma
• Atribua responsáveis e retome o assunto mais tarde

Até uma sessão de 30 minutos diante de um quadro branco identifica problemas que, de outra forma, chegariam à produção.

Teste sua compreensão dos fundamentos da modelagem de ameaças.

Você aprendeu por que a modelagem de ameaças é importante:

• A modelagem de ameaças responde de forma estruturada o que pode dar errado antes que os invasores descubram
• Ela antecipa a segurança no ciclo de desenvolvimento, tornando as correções muito mais baratas
• Diferencie ativos, ameaças e vulnerabilidades; o risco está na interseção entre eles
• Faça a modelagem durante o projeto e em mudanças importantes, com uma equipe multidisciplinar
• Evite armadilhas como tentar abranger tudo e não dar continuidade; sempre produza resultados que permitam agir

Em seguida, você aprenderá a estrutura STRIDE para categorizar ameaças.