1. PONENCIA :
MODELADO DE
AMENAZAS
Nelson Boris Murillo Prieto

9. (…o como identificar riesgos
aún no existentes)

10. Análisis de
Requerimient
os
Diseño
Implementaci
ón
Verificación Entrega

11. Descomponer
la aplicación
Determinar
los riesgos
Clasificar las
amenazas
Mitigación

14. 28/07/2013

16. • Suplantación del proceso o usuario típico en
ataques de Phishing o robo de credencialesSpoofing
• Modificación de datos o procesos, típico en
infecciones de malware o ataques de inyecciónTampering
• Repudio, no es posible verificar o demostrar
las acciones realizadas.Repudiation
• Fuga de información, se presentan datos
confidenciales
Information
disclosure
• Denegación de Servicio, debido a una
configuración insuficienteDenial of Service
• Elevación de privilegios, por ejemplo en el
acceso a nivel de S.O.
Elevation of
privileges

17. ELEMENTO S T R I D E
OK OK
OK OK OK OK OK OK
OK
?
OK OK
OK OK OK

22. • Potencial de Daño, si una amenaza se
concreta ¿Cuánto daño causaría?
Damage
Potencial
• Reproductividad, ¿Qué tan sencillo es
reproducir el ataque?Reproducibility
• Explotabilidad, ¿son necesarias muchas
condiciones para realizar la acción?Explotability
• Usuarios afectados, ¿Cuántos usuarios
serán afectados?Affected Users
• Descubrimiento, ¿Qué tan fácil es
descubrir la amenaza?Discover

23. 6
0
5
5
10
0
Spoofing
Tampering
Repudiation
Information Disclosure
Denial of Service
Elevation of privilege
Riesgo por tipo de amenaza

27. Preguntas ???
Muchas Gracias …
boris.muri@gmail.com