En el artículo anterior (es decir, el Conjunto 1) hemos discutido sobre la introducción de la herramienta de modelado de amenazas de Microsoft: desde dónde descargar la herramienta, los pasos para instalar la herramienta, los componentes disponibles para modelar el sistema utilizando el Diagrama de flujo de datos.
En este artículo discutiremos la lista de atributos para cada elemento y los valores de estos atributos que están disponibles para el usuario.
Propiedades para Procesos –
| Nombre del elemento | Nombre del Atributo | Valores |
|---|---|---|
| Proceso Genérico | Tipo de código | Administrado/ No administrado |
| corriendo como | Núcleo | |
| Sistema | ||
| Servicio de red | ||
| Servicio local | ||
| Administrador | ||
| Usuario estándar con elevación | ||
| Usuario Estándar Sin Elevación | ||
| Aplicación de la tienda de Windows | ||
| Nivel de aislamiento | contenedor de aplicaciones | |
| Bajo nivel de integridad | ||
| MOICE | ||
| Salvadera | ||
| Acepta entrada de | Cualquier usuario remoto o entidad | |
| Kernel, sistema o administrador local | ||
| Servicio local o de red | ||
| Usuario estándar local con elevación | ||
| Usuario estándar local sin elevación | ||
| Aplicaciones de la Tienda Windows o procesos del contenedor de aplicaciones | ||
| Nada | ||
| Otro | ||
| Implementa o utiliza un mecanismo de autenticación | Sí No | |
| Implementa o utiliza un Mecanismo de Autorización | Sí No | |
| Implementa un protocolo de comunicación | Sí No | |
| Desinfecta la entrada | Sí No | |
| Desinfecta la salida | Sí No | |
| Aplicación administrada | Tipo de código | * Administrado |
| cliente grueso | Tipo de código | * No administrado |
| Cliente del navegador | Tipo de código | * No administrado |
| Complementos de navegador y ActiveX | ActiveX | No si |
| Objeto de complemento del navegador | No si | |
| Proceso de la tienda de Windows | Tipo de código | * Administrado |
| Contexto | Local/Internet | |
| Capacidad de biblioteca de documentos | Sí No | |
| Capacidad de autenticación empresarial | Sí No | |
| Capacidad de servidor y cliente de Internet | Sí No | |
| Capacidad de Internet (cliente) | Sí No | |
| Capacidad de ubicación | Sí No | |
| Capacidad de micrófono | Sí No | |
| Capacidad de la biblioteca de música | Sí No | |
| Biblioteca de imágenes Capacidad | Sí No | |
| Capacidad de servidor y cliente de redes privadas | Sí No | |
| Capacidad de proximidad | Sí No | |
| Capacidad de almacenamiento extraíble | Sí No | |
| Capacidad de certificados de usuario compartidos | Sí No | |
| Capacidad de mensajería de texto | Sí No | |
| Capacidad de biblioteca de videos | Sí No | |
| Capacidad de cámara web | Sí No |
Propiedades para el almacén de datos:
| Nombre del elemento | Nombre del Atributo | Valor |
|---|---|---|
| Almacén de datos genéricos | Credenciales de tiendas | No si |
| Almacena datos de registro | No si | |
| encriptado | No si | |
| firmado | No si | |
| Acceso de escritura | Sí No | |
| Almacenamiento de eliminación | Sí No | |
| Respaldo | Sí No | |
| Compartido | Sí No | |
| Tipo de tienda | Base de datos relacional SQL | |
| Base de datos no relacional | ||
| Sistema de archivos | ||
| Registro | ||
| Configuración | ||
| Cache | ||
| Almacenamiento HTML5 | ||
| Galleta | ||
| Dispositivo | ||
| Sistema de archivos | Tipo de sistema de archivos | NTFS/ ExFat/ FAT/ ReFS/ IFS/ UDF/ Otro |
| Galletas | Solo HTTP | Sí No |
| Dispositivos | GPS | Sí No |
| Contactos | Sí No | |
| Calendario de eventos | Sí No | |
| Mensajes SMS | Sí No | |
| Credenciales de caché | Sí No | |
| Datos empresariales | Sí No | |
| Datos de mensajería | Sí No | |
| Almacenamiento SIM | Sí No | |
| Otros datos | Sí No |
Propiedades para Interactor Externo –
| Nombre del elemento | Nombre del Atributo | Valores |
|---|---|---|
| Interactor externo | Se autentica a sí mismo | No si |
| Escribe | No seleccionado/Código/Humano | |
| microsoft | No si | |
| Navegador | Escribe | * Código |
| Aplicación web externa | Escribe | * Código |
| Servicio web externo | Escribe | * Código |
| Usuario humano | Escribe | * Humano |
| Tiempo de ejecución de Windows | Escribe | * Código |
| Tiempo de ejecución de Windows .NET | Escribe | * Código |
| Tiempo de ejecución de Windows RT | Escribe | * Código |
Propiedades para DataFlow –
| Nombre del elemento | Nombre del Atributo | Valores |
|---|---|---|
| Flujo de datos genéricos | Red física | Cable/ Wifi/ Bluetooth/ 2G-4G |
| Fuente autenticada | Sí No | |
| Destino autenticado | Sí No | |
| Proporciona Confidencialidad | Sí No | |
| Proporciona integridad | Sí No | |
| Transmite XML | Sí No | |
| contiene galletas | Sí No | |
| Carga útil SOAP | Sí No | |
| REST Carga útil | Sí No | |
| Carga útil de RSS | Sí No | |
| Carga útil JSON | Sí No |
Nota: el asterisco (*) significa que los valores de los atributos no son modificables.
Aparte de lo anterior discutido tres paneles principales. hay tres opciones más importantes:
- Información del modelo de amenaza:
puede seleccionar este cuadro de diálogo desde el menú ARCHIVO. Esto ayuda al usuario a agregar información básica sobre el modelo de amenaza para establecer el riesgo del componente. Incluye las siguientes preguntas:- Nombre del modelo de amenaza
- Dueño
- Colaboradores
- Crítico
- Descripción del sistema de alto nivel
- suposiciones
- Dependencias externas
- Título
- Versión
- Mensajes:
puede seleccionar este cuadro de diálogo desde el menú VER. Esto permite identificar advertencias, errores o inconsistencias en la base de conocimiento. - Notas:
este cuadro de diálogo también está disponible en el menú VER. Esto no se cuenta durante la generación o el análisis de amenazas. Las notas son básicamente los comentarios registrados durante la discusión del modelo.
Para la muestra he escogido el Sistema de Compra Online para la Generación de DFD y Consecuente análisis de amenazas.
Hay tres entidades en el sistema:
- Administrador: su trabajo es iniciar sesión, realizar cambios en las credenciales de la cuenta de administrador, agregar detalles del producto, actualizar los detalles del producto.
- Cliente: las responsabilidades incluyen iniciar sesión, manejar su cuenta, buscar productos, comprar productos
- Gerente de Ventas: Realiza las siguientes operaciones en el sistema – Ingresar, Modificar Cuenta de Ventas.
Por lo tanto, hay 3 interactuadores externos, 8 procesos, 6 almacenes de datos y 34 flujos de datos. Adjunto una instantánea de cómo se ve DFD en la herramienta de modelado de amenazas de Microsoft y también el DFD original como referencia.
DFD en la herramienta de modelado de amenazas de Microsoft –
DFD originales –
Tenga en cuenta que este es solo un sistema de muestra, no un sistema en funcionamiento real, por lo que la comprensión del sistema y la inclusión/exclusión de procesos/interacciones externas/flujos de datos/almacenes de datos varían de persona a persona.
En el próximo artículo veremos cómo generar un informe de amenazas para el sistema de muestra.
Publicación traducida automáticamente
Artículo escrito por rashi_garg y traducido por Barcelona Geeks. The original can be accessed here. Licence: CCBY-SA