Al mirar los modelos de amenazas, encontré STRIDE (de Microsoft) y luego encontré a Mitre ATT & CK, parecen ser diferentes: uno es un modelo de amenazas y el otro es una metodología de inteligencia de amenazas.
Lo que me parece confuso es exactamente cuál es la diferencia entre estas dos categorías. En otras palabras, ¿por qué no puede alguien amenazar el modelo con Mitre ATT & CK?
¿Cuáles son los fundamentos que me faltan?
MITRE ATT & CK describe las diferentes etapas de un ataque, derivadas del modelo Cyber Kill Chain, y luego señala las tareas principales de cada etapa. Finalmente, describe una lista de TTP comunes que se utilizan para cada tarea.
Es útil establecer indicadores para atrapar a un atacante en cualquiera de estas etapas, ya que describe principalmente un arsenal de técnicas y el flujo general de un ataque.
Lo que no captura tan bien es qué vulnerabilidades va a explotar el atacante y las categorías generales de ataque. Esto es lo que hacen STRIDE y otras técnicas de modelado de amenazas, normalmente con un enfoque más centrado en el sistema.
De "Modelado de amenazas: diseño para la seguridad" por A. Shostack:
Cuando amenaza un modelo, usualmente usa dos tipos de modelos. Hay un modelo de lo que estás construyendo , y hay un modelo de las amenazas (lo que puede salir mal).
Aunque STRIDE no modela realmente el sistema, proporciona algunas categorías amplias de ataques, que no están vinculados a una etapa específica ni a una versión específica (como la TTP detallada descrita por ATT & CK).
Además, pero esto es más una consideración personal, las metodologías genéricas de modelado de amenazas como STRIDE se pueden adaptar fácilmente para considerar no solo la seguridad de TI, sino también la seguridad de la información en general.
Tanto ATT & CK como STRIDE son útiles, pero para propósitos ligeramente diferentes.
Permítame agregar un poco aquí a lo que dice @ a-darwin.
Absolutamente puede amenazar el modelo con ATT & CK en las circunstancias adecuadas.
Si lo que estás tratando de amenazar con un modelo es un sistema operativo, compuesto de elementos como escritorios de Windows, ipads, pilas LAMP con bases de datos y todos los bits asociados, entonces ATT & CK te brindará información útil sobre lo que hará un atacante Do y cómo detectar ese atacante en tu sistema.
STRIDE se desarrolló considerando vulnerabilidades reales, y uno de sus puntos fuertes es que el modelo ha durado 20 años. Su longevidad es posible porque es mucho menos específica que ATT & CK.
Lea otras preguntas en las etiquetas threat-modeling