STRIDE aplicado a cada elemento

STRIDE agrupa las amenazas en seis familias, y cada una ataca una propiedad que la aplicación debería garantizar. Suplantación: actuar como otro; rompe la autenticación. Manipulación: cambiar un dato o un código que no se debía cambiar; rompe la integridad. Repudio: negar haber hecho algo sin que se pueda probar lo contrario; rompe la trazabilidad. Divulgación de información: que alguien lea lo que no debe; rompe la confidencialidad. Denegación de servicio: impedir que algo funcione; rompe la disponibilidad. Elevación de privilegios: hacer lo que el propio rol no permite; rompe la autorización.

El método nació dentro de una empresa de software y hoy es de uso libre y general. Su valor no está en el nombre: está en que, al saber qué propiedad se rompe, ya se sabe de qué familia será el control que la protege.

No todas las categorías tienen sentido en todos los elementos. Una entidad externa no tiene privilegios dentro de la aplicación que pueda elevar; un flujo no se hace pasar por nadie. Por eso los equipos usan una tabla de aplicabilidad: para cada tipo de elemento, qué categorías se buscan. Así cada amenaza queda sobre el elemento donde de verdad puede ocurrir, y el control se diseña para esa pieza y no para otra.

Una amenaza en el sitio equivocado suele ser una buena idea mal ubicada: casi siempre describe algo que le pasa al proceso que recibe el flujo. Se corrige moviéndola, no borrándola. Compara cada fila del borrador con la tabla del equipo de seguridad.

STRIDE por elemento obliga a recorrer el diagrama completo, pieza por pieza. Un borrador hecho por un equipo suele cubrir lo que ese equipo programa a diario y dejar sin mirar lo que mantiene otro, o lo que se escribió una vez y nadie volvió a tocar. Un proceso es el tipo de elemento donde se buscan las seis categorías: si un proceso no tiene ninguna amenaza anotada, es mucho más probable que nadie lo haya revisado que que sea perfecto.

Cruza la lista de elementos con el borrador y busca el proceso que no aparece ni una vez.

El proceso que encontraste recibe por internet avisos de un tercero, y lo que diga cada aviso cambia el estado de un pedido de «pendiente» a «pagado». Recorrerlo con STRIDE es preguntar las seis cosas: quién puede hacerse pasar por el remitente, quién puede alterar el aviso en el camino, si queda prueba de qué aviso se recibió, qué se filtra en sus respuestas, qué pasa si llegan miles y si alguien puede hacer con él lo que no debería.

La primera de esas preguntas es la más grave para la empresa: si cualquiera puede mandar un aviso que diga «pagado», cualquiera recibe canastas sin pagar.

Además de recorrer los elementos, conviene contar el borrador por categorías. Una familia que no aparece en ninguna fila es una señal: suele ser la que el equipo no sabe reconocer. En una tienda con panel de empleados que hace reembolsos y cambia precios, y con un registro de auditoría en el diagrama, sería muy raro que esa familia no tuviera nada que decir.

Cuenta las amenazas del borrador por la letra de su categoría y compáralas con la leyenda de la tabla.