Threat Modeling para times de produto: como pensar como um atacante antes de codificar

Por que threat modeling é a prática mais subutilizada em segurança

Encontrar e corrigir uma vulnerabilidade em produção custa entre 30 e 100 vezes mais do que encontrá-la no design. Threat modeling é a prática de identificar ameaças potenciais durante o design de uma feature — quando o custo de correção ainda é zero.

O método STRIDE

STRIDE é o framework de threat modeling mais usado, desenvolvido pela Microsoft. Cada letra representa uma categoria de ameaça:

• Spoofing — falsificação de identidade. "Um atacante pode se passar por um usuário legítimo?"
• Tampering — modificação de dados. "Um atacante pode alterar dados em trânsito ou em repouso?"
• Repudiation — negação de ação. "Um ator pode negar que executou uma ação crítica?"
• Information Disclosure — exposição de informação. "Dados sensíveis podem ser expostos a quem não deveria ver?"
• Denial of Service — indisponibilidade. "Um atacante pode tornar o serviço indisponível?"
• Elevation of Privilege — escalada de privilégio. "Um usuário comum pode obter permissões de administrador?"

Como integrar ao processo de design de features

O formato mais prático para times de produto: uma sessão de 60-90 minutos antes do início do desenvolvimento de uma feature de alto risco. Participantes: engenheiro de produto, desenvolvedor sênior e security champion do time. Resultado: lista de ameaças identificadas, controles a implementar e casos de teste de segurança.

Ferramentas que facilitam

OWASP Threat Dragon (open source, visual, baseado em diagramas de fluxo de dados), Microsoft Threat Modeling Tool (gratuita, Windows) e Draw.io com templates de DFD são as opções mais acessíveis para times que estão começando.