Metodologías de modelado comparadas

STRIDE es un marco de Microsoft que clasifica las amenazas en seis categorías, según su documentación: suplantación (Spoofing), manipulación (Tampering), repudio (Repudiation), divulgación de información (Information Disclosure), denegación de servicio (Denial of Service) y elevación de privilegios (Elevation of Privilege). Se aplica pasando por cada elemento y cada flujo de un diagrama del sistema y preguntando, para cada uno, qué podría salir mal en cada categoría.

Su fuerza es que da una lista sistemática; su límite, que necesita un diagrama y que no dice por sí mismo cuál de esas amenazas le interesa a un adversario real.

PASTA, sigla de Process for Attack Simulation and Threat Analysis, es un proceso de siete etapas centrado en el riesgo: parte de los objetivos de negocio, define el alcance técnico, descompone la aplicación, analiza amenazas y vulnerabilidades, modela los ataques y termina en el análisis de riesgo e impacto. Es riguroso, y por eso pesado.

La tabla casos trae cuatro situaciones del año con el método que se usó. Contrasta cada una con lo que el método necesita (tabla metodos): una pide algo que el método elegido no puede dar.

Elegir un método por simpatía no deja nada que otro pueda revisar. Una comparación ponderada sí: se escriben los criterios, se les da un peso, se puntúa cada método y se multiplica. No vuelve objetiva la decisión (los puntajes son juicio del equipo), pero la vuelve explícita y repetible.

La tabla criterios da el peso de cada criterio y el puntaje de 1 a 3 de cada método. El total de un método es la suma de peso por puntaje en los cuatro criterios.

El segundo lugar también cuenta: si el método ganador depende de una buena inteligencia de actores y esa no está disponible, el siguiente en la lista es el plan de respaldo. Además, mirar el total del que quedó segundo muestra si la diferencia fue grande o fue de dos puntos, y en ese caso conviene mezclar métodos.

En la práctica los métodos se combinan, cada uno para lo que hace mejor. Lo que no se hace es sumarlos sin criterio, porque cada uno produce una lista distinta y las listas hay que reconciliar. Un reparto razonable usa el enfoque en amenazas para fijar qué actores y técnicas importan, STRIDE para revisar con detalle una pieza concreta con diagrama, y PASTA solo donde el riesgo de negocio justifique su peso.