Activos y límites de confianza

El modelado de amenazas responde cuatro preguntas, que el Manifiesto del Modelado de Amenazas atribuye a Adam Shostack: qué estamos construyendo, qué puede salir mal, qué vamos a hacer al respecto y si lo hicimos suficientemente bien. Esta sala trabaja la primera: construir una imagen compartida de lo que existe.

Esa imagen se apoya en dos ideas. Un activo es algo que tiene valor para la organización: un dato, un secreto, un servicio, una identidad. Una zona de confianza es un conjunto de componentes que comparten nivel de confianza y responsable. Un límite de confianza es la frontera entre dos zonas: allí los datos pasan a un lugar donde otro equipo, otra cuenta o un tercero controla las reglas. Casi toda amenaza interesante ocurre cerca de un límite, porque es donde lo que llega ya no se puede dar por bueno.

Un inventario de activos útil tiene al menos tres columnas: la clasificación (Público, Interno o Restringido en Higuerón), el dueño y dónde vive el activo. El dueño es quien decide quién puede acceder y quién responde si algo sale mal. Un activo sin dueño no tiene a nadie que apruebe sus permisos, y suele ser el primero que se queda mal protegido.

Abre el laboratorio y lee activos.txt. Busca un activo de clasificación Restringido que no tenga dueño.

Los activos Restringidos son los que más daño hacen si se pierden o se alteran, así que son los primeros en recibir controles. Contarlos da la medida de cuánto hay que cuidar antes de hablar de amenazas.

Higuerón divide su carga en cinco zonas y cuatro límites, cada uno con un nombre corto. Poner nombres evita ambigüedades cuando un hallazgo dice «el flujo que cruza el límite entre la aplicación y un tercero». Un tercero es un riesgo con rasgos propios: su seguridad no la decide la organización, y por eso el límite que lo separa merece atención especial.

Lee limites.txt. La carga cobra los pedidos con un proveedor de pagos externo.