Al mirar las herramientas de modelado de amenazas que están disponibles (el SDL de Microsoft para Modelado de amenazas es probablemente el mejor ejemplo), parecen considerar solo amenazas a bajo nivel, y tengo la sensación de que están dirigidas principalmente a desarrolladores.
En los sistemas, las amenazas no son solo de atacantes, las amenazas en la nube pueden incluir amenazas basadas en la ubicación o en el servicio (por ejemplo, las leyes pueden requerir que ciertos tipos de datos se mantengan dentro de ciertas jurisdicciones, un problema de seguridad alternativo pero un problema, no obstante). Este tipo de amenaza tampoco es un "nivel bajo", como los identificados en las herramientas mencionadas, sino un nivel más medio. Este tipo de amenazas no parecen estar representadas en ninguna herramienta que pueda encontrar, ni tampoco esas amenazas que provienen de fuentes distintas a los atacantes. Mis preguntas son las siguientes:
-
¿Se considera que el 'modelado de amenazas' es un proceso que contempla las amenazas solo desde un nivel bajo y está dirigido a los desarrolladores? Porque este es el entendimiento que obtengo al ver cómo funcionan estas herramientas. ¿O es solo porque estas herramientas son utilizadas principalmente por los desarrolladores, han llegado a priorizar los puntos de vista de los desarrolladores y personas afines?
-
¿Me faltan herramientas que proporcionen información sobre otros tipos de amenazas? ¿Quizás herramientas que consideren una visión de amenazas y vulnerabilidades de nivel superior? ¿O aquellos que consideran amenazas de no atacantes así como de atacantes? Sé que los procesos manuales como STRIDE y DREAD pueden permitir que las personas identifiquen amenazas en el nivel que deseen, pero estoy más interesado en conocer las herramientas que podrían hacer esto.