Threat modelling
El threat modelling es la práctica de razonar de forma sistemática sobre cómo podría fallar un sistema, a quién le convendría y qué importaría si ocurriera. Lo mejor es empezarlo antes de construir y repetirlo cada vez que cambia la arquitectura, y por eso en la práctica se hace casi siempre sobre sistemas que ya están en producción.
Una sesión de trabajo produce cuatro cosas: un diagrama del sistema con sus fronteras de confianza dibujadas, una lista de lo que un atacante querría de él, una lista de las formas en que podría conseguirlo, y una decisión sobre cada una. La estructura sale de una regla mnemotécnica como STRIDE o de un catálogo de ataques existente, pero la estructura es andamio. Lo que importa del resultado es el conjunto de decisiones, incluidos los riesgos que el negocio eligió aceptar y por qué.
El fallo habitual es tratarlo como un documento único producido en la fase de diseño y archivado después. La arquitectura se mueve, llega una integración nueva, un servicio interno se expone a un socio, y el modelo deja de describir el sistema. Atar la revisión al cambio que la dispara mantiene vivo el modelo y mantiene honesta la superficie de ataque.
En la práctica, los modelos que nos enseñan suelen estar construidos a posteriori, sobre parques que llevan años funcionando, y ese es un uso legítimo y no una concesión. Cuando una sesión se conduce bien, las preguntas que haría quien va a probar el sistema ya están escritas antes de que nadie se conecte, que es exactamente el sentido de la formación en revisión de diseño y threat modelling que impartimos.