Patrones de ataque de CAPEC como vocabulario

CWE responde a «qué error hay en el código o en el diseño». CAPEC responde a «de qué forma conocida se aprovecha un error así». Un mismo patrón puede servir para varias debilidades y una debilidad puede atraer varios patrones; cada entrada de un catálogo lista las del otro con las que se relaciona.

En un informe la etiqueta del hallazgo es siempre el CWE, porque es lo que el equipo de desarrollo va a corregir. El patrón de CAPEC acompaña: da nombre común a lo que la prueba de regresión debe resistir, o a la amenaza que se discute en una revisión de diseño. Abre el laboratorio y lee plan-de-pruebas.txt.

Los dos catálogos usan números parecidos y los prefijos se cruzan con facilidad. Un patrón escrito con el prefijo de debilidad no da error en ninguna herramienta: apunta a otra entrada que existe y que no tiene nada que ver. Por eso se revisa cada número contra su catálogo, no solo su forma.

Cruza la columna «patrón» del plan con el extracto de CAPEC y con el índice de patrones de cada debilidad.

Los patrones de CAPEC también tienen niveles. Un patrón Meta describe una idea general sin tecnología concreta y es útil en una revisión de diseño. Uno Standard describe una técnica concreta. Uno Detailed la ata a una tecnología y describe el caso completo, y es el que mejor se convierte en caso de prueba. Cada patrón tiene un padre, como en CWE.

PP-306 trae un patrón que no está entre los que su debilidad lista en el índice. Encuentra el patrón correcto de nivel Standard en el extracto y sube a su padre.

No toda debilidad tiene patrones relacionados en el catálogo. Que falte no quita gravedad al hallazgo ni obliga a forzar un patrón parecido: la prueba de regresión se escribe igual, a partir de la descripción del fallo, y la columna del patrón se deja vacía o con una nota. Forzar un número para llenar la casilla es la misma mala costumbre que etiquetar con una categoría.

El vocabulario de CAPEC se usa en dos momentos del ciclo. En la revisión de diseño y el modelado de amenazas, antes de que exista el código, se habla con patrones Meta o Standard, porque todavía no hay tecnología concreta que nombrar. En las pruebas de regresión de un hallazgo ya encontrado, el nivel Detailed describe mejor contra qué tiene que resistir el arreglo. En ningún caso el plan describe cómo atacar: nombra el patrón y dice qué comportamiento correcto se comprueba.