Modelagem de ameaças, entenda o que é e como realizá-la

Identificar as ameaças de segurança que seus sistemas enfrentam é um passo importante para mitigar potenciais vulnerabilidades como parte de uma estratégia mais ampla de gerenciamento de riscos.

Mas, por si só, ter consciência sobre as ameaças não é suficiente para se proteger contra ataques. As equipes de TI e engenheiros de segurança devem ir além. Para isso existe a modelagem de ameaças, que vai permitir que a sua empresa avalie e se defenda contra as várias ameaças que enfrenta, de maneira sistemática e proativa.

Neste artigo, nós explicamos o que significa modelagem de ameaças, como ela funciona, quais são as principais estruturas, ferramentas e práticas recomendadas para obter o máximo desse processo. Acompanhe!

O que é modelagem de ameaças?

Modelagem de ameaças é um processo sistemático e controlado que coleta todas as informações que afetam a segurança de uma empresa e as coloca em uma representação estruturada para entender melhor as ameaças e como elas afetam os negócios. Geralmente, envolve usar um cenário hipotético de ameaça e aplicá-lo a sistemas e redes para localizar vulnerabilidades, esclarecer objetivos e desenvolver mitigações.

No centro da modelagem de ameaças está o princípio de que um sistema, indivíduo ou a própria organização sempre terá alguma vulnerabilidade de segurança cibernética que pode ser explorada.

Em segurança cibernética, esse processo é uma forma de visualizar fontes de ameaças, eventos e resultados potenciais para perceber e mitigar essas ameaças antes que elas se tornem realidade. Ao detalhar os principais componentes do processo de busca de ameaças, as empresas podem construir um modelo de rastreamento de ameaças preciso e eficaz e, assim, melhorar as operações de negócios.

Por que o processo de modelagem de ameaças é importante na segurança cibernética?

Ao permitir uma resposta sistemática e estruturada às ameaças de segurança, a modelagem de ameaças oferece uma série de benefícios para as empresas. Confira a seguir.

Priorização de ameaças

Algumas ameaças são mais sérias do que outras. Por exemplo, uma ameaça contra um ambiente de desenvolvimento/teste pode não ser tão crítica quanto uma que poderia afetar um sistema de produção. Avaliar a gravidade potencial de cada ameaça ajuda as equipes a determinarem quais priorizar durante a mitigação.

Resposta proativa

Conforme observado acima, a modelagem de ameaças permite que as empresas adotem uma abordagem proativa ao gerenciamento de ameaças. Em vez de esperar que um ataque ocorra e só então responder, eles podem ficar um passo à frente dos invasores.

Comunicação

A modelagem de ameaças torna mais fácil para as equipes se comunicarem sobre ameaças de maneira consistente e centralizada. Em vez de se concentrar apenas nas ameaças que podem afetar o sistema específico que gerenciam, cada equipe de engenheiros e desenvolvedores pode compartilhar informações e insights de avaliação de ameaças em toda a organização e trabalhar coletivamente para mitigá-las.

Como realizar um processo de modelagem de ameaças?

Antes de falarmos no processo em si, é importante ressaltar que existem várias estruturas para a modelagem de ameaças. Algumas das principais incluem:

• STRIDE: essa estrutura se concentra em seis categorias principais de ameaça — falsificação da identidade de outra pessoa, adulteração de dados, repúdio de uma ação, divulgação de informações, negação de serviço e elevação de privilégio;
• DREAD: essa leva o STRIDE um passo adiante, adicionando mais cinco dimensões — potencial de dano, reprodutibilidade, explorabilidade, usuários afetados e descoberta;
• VAST: esse modelo foi desenvolvido para automação e focado na integração de várias equipes no processo;
• NIST: a estrutura do Instituto Nacional de Padrões e Tecnologia identifica dados de interesse e vetores de ataque, classifica os controles para mitigar esses vetores e analisa a eficácia geral.

A escolha da estrutura de modelagem de ameaças certa depende de vários fatores, incluindo:

• Em que setor está a empresa?
• Como está estruturado?
• Quem são seus stakeholders?
• Quais são as ameaças potenciais?
• Que cobertura é necessária, em termos de funcionários, dispositivos, fornecedores e outros terceiros?
• Qual é o tamanho da equipe de segurança e seu orçamento?

Levando tudo isso em conta, o processo de modelagem de ameaças, tradicionalmente, segue cinco etapas básicas.

1. Identifique os ativos

O primeiro passo é identificar seus ativos e priorizar aqueles que precisam de proteção. Para a maioria das organizações, qualquer coisa considerada crítica para os negócios pode ser considerada um ativo.

2. Relacione quem tem acesso

Depois que os ativos e localizações forem determinados, identifique quem tem acesso aos ativos e se suas funções são controladas. Isso pode incluir funcionários, contratados e parceiros de negócios. Em seguida, determine se aqueles que acessam o ativo têm privilégios de acesso apropriados atribuídos.

3. Avalie vulnerabilidades e ameaças

Em seguida, considere quais ameaças cada ambiente enfrenta. Tente usar um modelo de ameaça baseado em adversário para identificar invasores em potencial que podem tentar comprometer a rede. Esse modelo geralmente descreve quatro tipos de invasores:

• rede;
• usuários autorizados;
• softwares remotos;
• hardwares avançados.

4. Determine as mitigações para cada ameaça

Após identificar ameaças potenciais para cada ambiente, implemente um nível de segurança adequado para protegê-los. Isso pode ser feito delineando classes de respostas com base na gravidade do incidente e do ambiente.

5. Repita o ciclo

A modelagem de ameaças para resposta a incidentes é um processo repetitivo. Depois que um plano de resposta a incidentes com base na modelagem de ameaças for desenvolvido, você deve avaliar continuamente sua eficácia medindo as taxas de incidentes críticos ao longo do tempo. Se o número de incidentes cair após fazer alterações de política ou outras mitigações, isso é uma evidência de que seu plano de resposta a incidentes está funcionando bem.

Quais erros comuns evitar no processo de modelagem de ameaças?

Como você pôde ver, há muitas ferramentas usadas para criar um modelo de ameaças. No entanto, existem equívocos comuns que as pessoas cometem nesse processo. Aqui está uma lista desses erros comuns a serem evitados.

Sempre pensando como o invasor

É uma boa estratégia pensar como um invasor e danos podem ser reduzidos ao prever o que um invasor pode fazer. Porém, nem sempre essa tática deve ser usada. Vários outros métodos para identificar ameaças podem ser utilizados e a escolha deve se basear na situação. Por isso, não se atenha somente a uma estratégia.

Encarar a modelagem de ameaças como um processo único

Pensar que você deve fazer a modelagem de ameaças apenas uma vez é um grande erro. A modelagem de ameaças é um processo contínuo que não tem fim. Isso porque as ameaças e vulnerabilidades nunca terminam, devemos estar sempre atentos a elas.

É sempre uma boa prática definir o tempo no futuro, ou quando há uma grande mudança na organização – como mudança de infraestrutura, sistema e aplicativo –, e fazer uma revisão e atualização do respectivo risco potencial, caminho de ataque, controles de segurança, para garantir que seu modelo de ameaça continue relevante e atualizado.

Focar o lugar errado

Muitas vezes, se não o tempo todo, um modelo de ameaça com falha é consequência do foco nos pontos errados, como focar no ativo menos prejudicial. Portanto, é importante saber em qual ponto devemos focar e por que exatamente. Isso geralmente é o resultado de não fazer uma boa descoberta, identificação e priorização de ativos no início.

Em suma, a modelagem de ameaças permite que as empresas se mantenham à frente dos riscos de segurança, independentemente da forma que os riscos assumem ou dos tipos de recursos que eles abordam. Embora a modelagem de ameaças exija algum investimento inicial de tempo, ela paga enormes dividendos quando permite que as equipes respondam proativamente às ameaças que, se não forem controladas, podem levar a ataques dispendiosos.

Sua empresa já trabalha com modelagem de ameaças? Conte para a gente sobre a sua experiência nos comentários abaixo!