Modelado de amenazas

[pic 1][pic 2][pic 3]

Introducción

OWASP define al Modelado de amenazas como una representación estructurada de toda la información que afecta a la seguridad de una aplicación.(OWASP Foundation | Open Source Foundation for Application Security, n.d.)

Entonces el modelado de amenazas hay que entenderlo como un proceso bien estructurado a través del cual, los expertos de TI pueden identificar posibles amenazas y vulnerabilidades de seguridad, pero no sólo eso, también será posible cuantificar la gravedad de cada una y así dar prioridad a las técnicas que nos permitan mitigar los ataques para proteger los recursos de TI.

La técnica para el modelado de amenazas consta de cuatro fases diferentes y cada una de ellas contiene pasos importantes para ayudarnos a crear un diagrama de flujo de datos y así analizar dicho flujo en busca de amenazas.

Dichas fases son:

• Diseño. - Capturar todos los requisitos del sistema y crear un diagrama de flujo de datos.
• Interrupción. - aplicar un marco al modelado de amenazas al diagrama de flujo de datos buscando posibles problemas de seguridad.
• Corrección. - decidir cómo abordar cada uno de los problemas combinando de manera correcta los controles de seguridad.
• Verificación. - comprobar que se detectan los problemas y se implementan los controles de seguridad.

(Fases Del Modelado de Amenazas - Learn | Microsoft Docs, n.d.)

Desarrollo

Para el modelado de amenazas se tienen diferentes metodologías las cuales se mencionan a continuación.

CORAS

Consultative Objectire Risk Analysis System, es una metodología de la unión europea con la única intención de dar un framework orientado a sistemas críticos. CORAS analiza los riesgos utilizando:

• Un lenguaje de modelado de riesgos basado en UML (Unified Modeling Langiuage)
• Descripción paso a paso del proceso de análisis con una directriz para construir los diagramas CORAS.
• La utilización de alguna herramienta para documentar, mantener y crear los informes del análisis.

La metodología CORAS hace uso intensivo de 5 tipos diferentes de diagramas los cuales son:

1. Diagrama superficial de activos: muestra a todos los activos y como una afectación en uno o varios de ellos afecta a los demás.
2. Diagrama de amenazas: muestra de forma detallada, como una amenaza ha afectado los activos y al mismo tiempo muestra las consecuencias sobre los mismos. En dicho diagrama se ven las amenazas liberadas, amenazas accidentales, amenazas no humanas, vulnerabilidades, incidentes no deseados y activos
3. Diagrama superficial de riesgo: es un resumen del diagrama de amenazas.
4. Diagrama de tratamiento: ofrece una visión completa de las contramedidas propuestas para la mitigación de las amenazas.
5. Diagrama superficial de tratamiento: es un resumen de las contramedidas pero añadiendo los diferentes escenarios posibles y mostrando las relaciones entre los distintos elementos propuestos para tratar los riesgos.

(El Modelado de Amenazas (Parte III) ~ Flu Project, n.d.)

CIGITAL

Fue una empresa de servicios que gestionaban seguridad de software. Dicha empresa ofrecía pruebas de seguridad, pruebas de penetración y análisis de arquitectura. CIGITAL creo un framework para el modelado de amenazas el cual se centra en que los objetivos del negocio son los que determinan el riesgo y los riesgos son los que dirigen los métodos.

CIGITAL fue adquirida por Synopsys en el año de 2016.

PTA

Otra metodología del modelado de amenazas es la PTA (Practical Threat Analisys) creado por PTA Technologies y la cual dispone de su propia metodología. Dicha evaluación se realiza por medio de un conjunto de herramientas de software que permite a los usuarios encontrar la manera más rápida y rentable de proteger sus sistemas y aplicaciones de acuerdo con sus funcionalidades y el entorno donde se encuentren. El flujo de trabajo de dicha metodología es la siguiente:

• Identificación de activos
• Identificación de vulnerabilidades
• Definición de salvaguardas
• Creación de escenarios de amenazas y planes de mitigación.

(El Modelado de Amenazas (Parte II) ~ Flu Project, n.d.)

TRIKE

Esta metodología usa los modelos de amenazas como herramientas de gestión de riesgos. Dichos modelos están basados en modelos de requisitos estableciendo un nivel de riesgo el cual es definido por todas las partes interesadas. El análisis que se realiza al modelo de requisitos produce un modelo de amenazas en el que se identifican y se les da un valor; cuando el modelo de amenazas ya se tiene completo se utiliza luego para construir un modelo de riesgo teniendo en cuenta las acciones, los activos, los roles y la exposición al riesgo calculada. (¿Qué Es El Modelado de Amenazas? Ejemplos, n.d.)

TAM (Microsoft Threat Analysis and Modeling).

Esta metodología dispone de 5 pasos los cuales son:

1. Identificar los objetivos de seguridad
2. Crear una descripción general de la aplicación
3. Descomponer la aplicación
4. Identificación de amenazas
5. Identificación de vulnerabilidades.

En una primera versión de esta metodología, se analizaban todas las amenazas detectadas realizando una clasificación y un ranking de las mismas. Esto se realizaba para priorizar las acciones que se deberían tomar para mitigar las amenazas. En una segunda versión mejorada se pusieron como objetivos determinar los conceptos de amenaza, ataque y vulnerabilidad. Entonces, para identificar por completo una amenaza se identifican, se analizan y se clasifican todas las vulnerabilidades a las que se expone el sistema. (El Modelado de Amenazas (Parte II) ~ Flu Project, n.d.)

PASTA

Este tipo de modelado es un proceso de simulación de ataques y análisis de amenazas. Dicho modelado combina la perspectiva de los atacantes con el análisis de riesgo e impacto creando así una imagen completa de las amenazas a los productos y aplicaciones.

Este modelado se compone por siete etapas y en donde el trabajo de cada etapa se basa en el trabajo realizado en la etapa anterior.

Estas son las siete etapas del modelado PASTA:

1. Definir sus objetivos comerciales. – en esta etapa nos debemos concentrar en todo aquello que es importante para nuestro negocio.
2. Definir el alcance técnico de los activos y componentes. - todos los componentes empresariales forman una superficie de ataque, por lo tanto, se tienen que identificar como están configurados todos y cada uno de los componentes empresariales, además, se deberá tener en cuenta las aplicaciones de terceros y como están interactuando unos con otros dentro de las redes de la empresa. Una vez recabada toda esta información, podríamos definir el o los componentes más vulnerables.
3. Identificación de los controles de la aplicación. - se tendrán que identificar a todos los usuarios junto con sus roles y permisos para que con esto se identifiquen los modelos de confianza y que podrían ser vulnerables a un ataque.
4. Análisis de amenazas basado en inteligencia de amenazas. - tendremos que identificar y encontrar todas las amenazas que podrían afectar a nuestra empresa para así crear con esta información, una biblioteca de amenazas. Además, tendremos que utilizar la información de los sistemas de protección (antivirus, firewall, proxy’s , etc) para comprender las amenazas más recientes que afectan a la industria en general y con esto saber que ataques se han mitigado con el uso de los sistemas de protección.
5. Detección de vulnerabilidades. - esta etapa se auxilia de la etapa 2 la cual identificó toda la superficie de ataque. En esta etapa debemos mapear que debilidades se romperán bajo ciertas amenazas.
6. Analizar y modelar ataques. - en este paso podríamos auxiliarnos de los llamados hacker’s de sombrero blanco o nosotros mismos pensar como el atacante. El objetivo es emular los ataques que podrían aprovechar todas las debilidades encontradas en los pasos anteriores. Específicamente la metodología PASTA recomienda construir árboles de ataque donde quedarán mapeados las amenazas, las vulnerabilidades y los ataques que se podrían explotar. El objetivo es que al final de este paso contemos con una lista de posibles rutas de ataque
7. Análisis de riesgo. - aquí se analizan todos los resultados de las etapas anteriores con el único fin de poder crear contramedidas eficaces en caso de un ataque.

Este modelado nos da muchos beneficios como son:

• Poner seguridad en todo el negocio
• Obtenemos un panorama completo de las amenazas a las que podemos ser víctimas.
• Nos ayuda a comprender el panorama tan cambiante de las amenazas cibernéticas
• Un beneficio muy importante es, que nos ayuda a tomar las mejores decisiones para hacer frente a algún ataque.

PASTA une todos los elementos de seguridad de una empresa para poder lograr una mejor planificación de ciberseguridad.(Modelado de Amenazas PASTA: La Comida Completa de Seguridad Cibernética, n.d.)

...