Analisis Modelado De Amenazas

Análisis y Modelado de Amenazas
Una revisión detallada de las metodologías y herramientas emergentes Versión: Fecha de creación: 1.0 18 / 12 / 2006

Autor: Daniel P.F metal AT/DOT hacktimes.com

Tabla de contenido

¿Qué es el modelado de amenazas?........................................................................................ 3 Consideraciones previas al proceso de modelado................................................................. 4 Integración de la seguridad en el ciclo de vida del desarrollo ............................................. 6 Metodologías (State of the art) ............................................................................................... 6 Ace Threat Analysis andModeling............................................................................... 7
Pasos del modelado de amenazas según Microsoft ........................................................................7 Método de clasificación STRIDE...................................................................................................8 Método de puntuación DREAD ...................................................................................................11Evolución de la metodología ........................................................................................................13

CORAS.......................................................................................................................... 16 Trike ..............................................................................................................................22 PTA (Practical Threat Analisys)................................................................................. 23 Herramientas ......................................................................................................................... 26
Microsoft TAM v2.1 ....................................................................................................................26CORAS ........................................................................................................................................28 Trike .............................................................................................................................................30 PTA..............................................................................................................................................33

Conclusiones........................................................................................................................... 38 Referencias de interés............................................................................................................ 40 Glosario de términos............................................................................................................. 41

Análisis y Modelado de Amenazas Daniel P.F (metal AT/DOT hacktimes.com) Página 2 de 42

¿Qué es el modelado de amenazas?
El modelado de amenazas es una técnica de ingeniería cuyo objetivo es ayudar a identificar y planificar de forma correcta la mejor manera de mitigar las amenazas de una aplicación o sistema informático. Para aprovecharmejor los beneficios que proporciona su uso, en un escenario ideal debería iniciarse desde las primeras etapas del desarrollo y planificación de cualquier aplicación o sistema. La verdadera ventaja de esta técnica reside en el hecho de que al aplicarse como un proceso durante todo el ciclo de vida de desarrollo del software, supone un enfoque diferente al tradicional análisis de riesgos y laposterior aplicación de medidas que contribuyan a mejorar la seguridad. Es por esto que el análisis y modelado de amenazas, aunque es un campo relativamente nuevo, está despertando un gran interés. En este sentido, y de forma reciente, Microsoft ha sido uno de los grandes impulsores de esta técnica, llegando a resultar su particular visión sobre el tema (por el momento) bastante bien encaminada. Al...