¿Cómo realizas una sesión de modelado de amenazas?

Respuesta directa

Qué debe cubrir una buena respuesta

Cómo funciona

Una sesión de modelado de amenazas responde cuatro preguntas: qué estamos construyendo, qué puede salir mal, qué haremos al respecto y si lo hicimos suficientemente bien. Empieza con el alcance y los activos que merecen protección, luego un diagrama de flujo de datos que muestra componentes, almacenes, entidades externas y los límites de confianza entre ellos, porque los ataques ocurren en los límites. Para cada límite y flujo, el grupo enumera amenazas con un marco como STRIDE y casos de abuso concretos desde el punto de vista del atacante, las ordena por probabilidad e impacto, elige controles preventivos y detectivos, y registra cada amenaza con dueño y una forma de verificar que el control existe. El modelo se revisa cuando cambia la arquitectura.

Ejemplo

Al modelar una función nueva de compartir ficheros, el diagrama mostró subidas cruzando del navegador a una API, al almacenamiento de objetos y a un antivirus. Las amenazas incluían ejecución de ficheros maliciosos, path traversal en nombres, acceso no autorizado a ficheros de otro tenant mediante IDs adivinables y denegación de servicio con subidas enormes. Controles: validación de tipo de contenido y escaneo en sandbox, claves de objeto generadas, autorización por tenant en cada descarga y un límite de tamaño en el balanceador, cada uno con una prueba en CI y un dueño.

Errores frecuentes

• Hacer la sesión sin diagrama y enumerar amenazas de memoria.
• Producir una lista de amenazas sin controles, dueños ni verificación.
• Modelar una vez al lanzar y no revisar nunca tras cambios importantes.

Una estructura útil para responder

Responde desde tu propia experiencia.

No memorices un guion: usa solo ejemplos que puedas explicar con honestidad en preguntas posteriores.