lOMoARcPSD|5775523

Metodologías de modelado de amenazas

Metodologia y Calidad de Software (Universidad Internacional de La Rioja)

StuDocu no está patrocinado ni avalado por ningún colegio o universidad.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)
 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Introducción al modelado de amenazas. 1

Estudio de metodologías existentes. 1

Descripción de una metodología en profundidad. 2

Análisis de amenazas 4

Resultados 8

Conclusiones 12

Referencias 12

Metodologías de modelado de
amenazas

Introducción al modelado de amenazas.

El proceso sistémico del análisis de riesgos tiene como objetivo estimar la dimensión y
probabilidad de los riesgos a los que una organización podría estar expuesta, a su vez,
determinar qué decisión tomar ante un posible ataque. A este proceso aplicado del desarrollo
y diseño de software se denomina Modelado de amenazas.

Estudio de metodologías existentes.

Cómo parte de la investigación de las metodologías existentes, se toma cómo referencia el
tema 3 de la materia en curso, a continuación las diferentes metodologías descritas en dicho
capítulo.

1 CORAS (Consultative Objective Risk Analysis System) and SECURIS (Research Council of
Norway-funded Model-Driven Development and Analysis of Secure Information Systems).
Herramienta
2 CIGITAL's architectural risk analysis process.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

3 OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation). SEI de la

Universidad Carnegie Mellon
4 PTA Technologies Calculative Threat Modeling Methodology (CTMM).
5 Trike. Metodología de evaluación de amenazas.
6 MTAM (Microsoft Threat Analysis and Modeling).
7 PASTA (Process for Attack Simulation and Threat Analysis).
[refrerencia 1]

Descripción de una metodología en profundidad.

El establecimiento Librería On-Line SA al cual se le denominará “el negocio”. solicita realizar
un modelo de amenazas con el propósito de medir las amenazas existentes, tomando cómo
premisa lo siguiente, “el negocio” ha sufrido últimamente un ciberataque que ha
comprometido las credenciales de sus clientes, este ha trascendido en los medios de
comunicación, la consecuencia, una pérdida de cuota de mercado importante frente a sus
competidores.

Se han solicitado los servicios de nuestra compañía InfoSecurity a quien se le denominará “el
consultor” para llevar a cabo un trabajo de modelado de amenazas.

Se han establecido los siguientes requisitos de negocio y técnicos:

» Habrá tres tipos de usuarios en la aplicación: clientes, administrador TI y agente de
ventas
» Los clientes deben poder buscar productos y gestionar sus pedidos utilizando la tienda
web o llamando a la oficina de ventas.
» Para que un cliente pueda realizar un pedido el cliente debe, con anterioridad,
registrarse para crearle una cuenta.
» El cliente puede pagar con una tarjeta de crédito, débito o mediante transferencia
bancaria.
» Los clientes deben iniciar sesión antes para poder personalizar sus preferencias.
» Los clientes deben ser capaces de revisar y modificar sus pedidos realizados.
» Los agentes de ventas pueden conceder descuentos a los clientes.
» Los administradores pueden modificar y eliminar clientes y productos e información.
» La tienda web de la librería tendrá que ser accesible desde Intranet e Internet.
» La tienda web deberá diseñarse con una arquitectura distribuida por razones de
escalabilidad.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

» El cliente necesita autenticarse en la tienda web con las credenciales de la cuenta de

usuario, que a su vez se comprobarán contra la base de datos implementada en el
backend de la compañía, a través de una interfaz de servicios web.
» La información de la cuenta del usuario y la información del producto deberán
mantenerse en una base de datos relacional.
» El procesamiento de tarjetas de crédito será subcontratado a un procesador de
terceros.
» Las interacciones de los usuarios con la tienda web se almacenan en un servidor de log
interno de la organización.
» La base de datos deberá copiarse periódicamente en una ubicación de un proveedor de
servicios TI de terceros, para propósitos de recuperación ante desastres.
» El sitio web se diseñará lógicamente como una aplicación cliente/servidor distribuida
conforme a un modelo de tres capas: presentación, proceso y datos.
» Los clientes accederán a la aplicación utilizando navegadores web de escritorio, y
dispositivos móviles.
» El sitio web se desplegará en Internet protegido por una DMZ de dos capas con acceso
tanto para usuarios internos como externos.
» Físicamente, la aplicación estará completamente alojada en un servidor de aplicaciones
(Frontend) alojado en la DMZ, con acceso a un servidor de base de datos que estará en
la red interna de la compañía (Backend).
» Las tecnología utilizada en el desarrollo de la aplicación web es ASP.Net utilizando C #
y la base de datos del backend de la compañía está implementada en base al producto
Microsoft SQL Server.
“El negocio” tiene como objetivos de seguridad los siguientes

OB-1. Recuperar la imagen de la compañía deteriorada tras el ciber incidente ocurrido.

OB-2. Obtener la posición líder de mercado en venta de libros online.
OB-3. Mantener confidencialidad, integridad y disponibilidad de la información
almacenada y transmitida.
OB-4. Proporcionar un servicio seguro a los clientes existentes y potenciales.
OB-5. Proporcionar un servicio ininterrumpido a los clientes existentes y potenciales. Se
aplicarán técnicas de monitorización, equilibrio de carga, replicación, recuperación
ante desastres y continuidad del negocio y copias de seguridad recuperables
OB-6. Proporcionar una experiencia de usuario mejorada a los clientes existentes y
potenciales.
OB-7. Se establecerán procesos de autenticación, autorización y auditoría.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Análisis de amenazas
“El consultor” se limitará a realizar el modelo de amenazas considerando que se encuentra
en la fase de análisis del SDLC

A continuación se presenta un DFD sugerido para la solución y modelado del sistema, este
fue realizado con la herramienta online “threatdragon” [Referencia 2], es importante
mencionar que dicha herramienta, realiza un análisis de cada componente mediante el
modelo STRIDE, dicho DFD se muestra a continuación [Imagen 1]

Imagen 1

“El consultor” presenta a “el negocio” el cálculo de los riesgos que se presentaron cómo
resultado del análisis que el DFD arrojó, dicho cálculo será efectuado por medio de la
siguiente fórmula.

Riesgo = Probabilidad x Impacto potencial= (R+E+DI) x (D+A) = PxI

En total “el consultor” ha detectado nueve componentes, de los cuales se encontraron 32

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

amenazas del modelo STRIDE, “el consultor” determina entonces en la siguiente tabla [tabla
1] el riesgo total de cada una de las amenazas.

Probabilidad de Impacto P I Riesgo

Ocurrencia (P) Potencial (I)

Amenaza R E DI D A (R+E+DI) (D+A) PxI

Agente Spoofing 1 2 3 3 3 6 9 54

Agente Repudiation 1 2 2 3 3 5 9 45

Admin Spoofing 1 3 3 3 3 8 9 72

Admin Repudiation 1 3 3 3 3 8 9 72

BDD_SQL_Credenciales 2 2 1 2 3 5 5 25
& Productos Tampering

BDD_SQL_Credenciales 2 2 3 3 3 7 9 63
& Productos
Repudiation

BDD_SQL_Credenciales 1 3 3 3 3 7 9 63
& Productos
Information disclosure

BDD_SQL_Credenciales 1 3 3 3 3 7 9 63
& Productos Denial of
Service

BBDD_NoSql_logs 1 2 2 2 2 5 4 20
Tampering

BBDD_NoSql_logs 1 1 1 2 2 3 4 12
repudiation

BBDD_NoSql_logs 2 1 1 2 2 4 4 16
Information Disclosure

BBDD_NoSql_logs 2 1 2 2 2 5 4 20
Denial of Service

Web Server Spoofing 3 3 3 3 3 9 9 81

Web Server Tampering 3 3 3 3 3 9 9 81

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Web Server Repudiation 3 3 3 3 3 9 9 81

Web Server Information 3 3 3 3 3 9 9 81

Disclosure

Web Server Denial of 3 3 3 3 3 9 9 81

service

Web Server Elevation of 3 3 3 3 3 9 9 81

Privilege

Cloud Storage 3 3 3 3 3 9 9 81
Tampering

Cloud Storage 1 3 1 3 3 5 9 45
Repudiation

Cloud Storage 1 2 1 2 2 4 4 16
Information Disclosure

Cloud Storage Denial of 1 2 2 2 2 5 4 20

Service

Browser Client Spoofing 3 3 3 3 3 9 9 81

Browser Client 3 3 3 3 3 9 9 81
Tampering

Browser Client 3 3 3 3 3 9 9 81
Repudiation

Browser Client 3 3 3 3 3 9 9 81
Information Disclosure

Browser Client Denial of 3 3 3 3 3 9 9 81

Service

Browser Client Elevation 3 3 3 3 3 9 9 81

of Privileges

Authorization Provider 3 2 2 3 3 7 9 63
Spoofing

Authorization Provider 2 3 2 3 3 7 9 63
Repudiation

Human Spoofing 3 3 3 3 3 9 9 81

Human repudiation 3 3 3 3 3 9 9 91

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Resultados
Cómo resultado del análisis anterior “el consultor” se dispone a realizar las sugerencias para
mitigar las amenazas, para ello el formato será presentado de la siguiente manera[tabla 2]

Componente Amenaza Salvaguarda

Agente Spoofing ● Single Sign On

● IPSEC

Agente Repudiation ● Procesos de Autenticación: hash,

firma digital
● Procesos de Auditoría

Admin Spoofing ● Single Sign On

● IPSEC

Admin Repudiation ● Procesos de Autenticación: hash,

firma digital
● Procesos de Auditoría

BDD_SQL_Credenciales& Tampering
● Firmas digitales.
Productos
● Protocolos resistentes a la
manipulación.
● Listas control de acceso ACL

BDD_SQL_Credenciales& Repudiation
● Procesos de Autenticación: hash,
Productos
firma digital.
● Procesos de Auditoría
● Sellado de tiempo.

BDD_SQL_Credenciales& Information
● No almacenamiento de secretos.
Productos disclosure
● Protocolos seguros.
● Encriptado.

BDD_SQL_Credenciales& Denial of Service

● Procesos de AAA: hash, firma
Productos
digital.
● Listas control de acceso ACL.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

● Calidad de servicio

BBDD_NoSql_logs Tampering
● Firmas digitales.
● Protocolos resistentes a la
manipulación.
● Listas control de acceso ACL

BBDD_NoSql_logs Repudiation
● Procesos de Autenticación: hash,
firma digital.
● Procesos de Auditoría
● Sellado de tiempo.

BBDD_NoSql_logs Information
● No almacenamiento de secretos.
Disclosure
● Protocolos seguros.
● Encriptado.

BBDD_NoSql_logs Denial of Service

● Procesos de AAA: hash, firma
digital.
● Listas control de acceso ACL.
● Calidad de servicio

Web Server Spoofing

● Procesos de Autenticación,
Autorización y Auditoría (AAA):
hash, firma digital.
● Protección de secretos
● No almacenamiento de secretos

Web Server Tampering

● Códigos de autenticación de
mensajes.
● Firmas digitales.
● Protocolos resistentes a la
manipulación.

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Web Server Repudiation

● Procesos de Autenticación: hash,
firma digital.
● Procesos de Auditoría
● Sellado de tiempo.

Web Server Information

● No almacenamiento de secretos.
Disclosure
● Protocolos seguros.
● Encriptado.

Web Server Denial of service

● Procesos de AAA: hash, firma
digital
● Listas control de acceso ACL.
● Calidad de servicio.

Web Server Elevation of

Privilege ● Listas control de acceso ACL.
● Control de acceso basado en roles.
● Trabajar con el mínimo privilegio.
● Validación de entradas

Cloud Storage Tampering

● Firmas digitales.
● Protocolos resistentes a la
manipulación.
● Listas control de acceso ACL

Cloud Storage Repudiation

● Procesos de Autenticación: hash,
firma digital.
● Procesos de Auditoría
● Sellado de tiempo.

Cloud Storage Information

● No almacenamiento de secretos.
Disclosure
● Protocolos seguros.
● Encriptado.

Cloud Storage Denial of Service

● Procesos de AAA: hash, firma

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

digital.
● Listas control de acceso ACL.
● Calidad de servicio

Browser Client Spoofing

● Protección de secretos
● No almacenamiento de secretos
● Single Sign On

Browser Client Tampering ● Protocolos resistentes a la

manipulación.

Browser Client Repudiation

● Sellado de tiempo.

Browser Client Information

● No almacenamiento de secretos.
Disclosure
● Protocolos seguros.

Browser Client Denial of Service

● Calidad de servicio.

Browser Client Elevation of ● Control de acceso basado en

Privileges roles.

Authorization Provider Spoofing

● Procesos de Autenticación,
Autorización y Auditoría (AAA):
hash, firma digital.
● Protección de secretos
● No almacenamiento de secretos
● Single Sign On
● IPSEC

Authorization Provider Repudiation

● Procesos de Autenticación: hash,
firma digital.
● Procesos de Auditoría.
● Sellado de tiempo.

Human Spoofing ● Single Sign On

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)

 lOMoARcPSD|5775523

Erick Martin Garcia Vega 1er semestre

Seguridad en el Softwarel (MEXINGSOF) - Mayo2020

Human repudiation
● Sellado de tiempo.

Conclusiones
“El Consultor” sugiere a ”el negocio” aplicar cada una de las sugerencias de mitigación para
las amenazas de esta manera podrá entonces cumplir los objetivos determinados.

Referencias
1.- https://unir-mexico.s3.amazonaws.com/MaestriaIngenieriadelSoftware/
ARCHIVOS_COMUNES/mexingsof05/tema3.pdf

2.- https://threatdragon.org/

Descargado por Freeman Llamozas Escalante (freeman_ll23g@hotmail.com)