Modelado de amenazas: piensa como un atacante para defenderte como un profesional

Qué es el modelado de amenazas

La mayoría de las personas abordan la seguridad de forma reactiva: ocurre algo malo, compran una herramienta y esperan que esa herramienta evite lo siguiente. El modelado de amenazas le da la vuelta a esto. Es una forma estructurada de pensar en la seguridad antes de que algo salga mal, planteando cuatro preguntas fundamentales:

1. ¿Qué estoy protegiendo?
2. ¿Quién podría querer atacarlo?
3. ¿Cómo podría hacerlo?
4. ¿Cómo priorizo mis defensas?

El modelado de amenazas fue originalmente una disciplina de la ingeniería de software, pero el razonamiento central se aplica igual de bien a la seguridad personal, las redes domésticas, las pequeñas empresas y las infraestructuras críticas.

Paso 1: identifica tus activos

Empieza por enumerar lo que intentas proteger. Los activos no son solo datos: incluyen sistemas, reputaciones, relaciones y tiempo.

Para un particular, los activos podrían incluir:

• La cuenta de correo electrónico (la puerta de entrada a todas las demás cuentas)
• Las cuentas financieras y el crédito
• Los documentos de identidad y la información personal
• Las comunicaciones y fotos privadas
• La reputación profesional

Para una pequeña empresa:

• Los datos de clientes y la información de pago
• La propiedad intelectual y el código fuente
• Los registros de empleados
• La continuidad del negocio (la capacidad de seguir operando)
• La reputación de la marca

Ordenar estos activos por importancia obliga a priorizar. No puedes proteger todo por igual: debes proteger primero lo más crítico.

Paso 2: identifica a tus adversarios

Distintos atacantes tienen distintas capacidades, motivaciones y objetivos. Un modelo de amenazas realista nombra tipos de adversarios específicos en lugar de un vago "hackers".

Perfiles de adversarios comunes:

• Delincuentes oportunistas: bots automatizados y atacantes de poca habilidad que buscan objetivos fáciles. Escanean en busca de servicios expuestos, prueban contraseñas filtradas y envían correos de phishing masivos. Pasan a otra cosa rápidamente si no eres trivialmente vulnerable.
• Delincuentes dirigidos: motivados por el beneficio económico y dispuestos a invertir tiempo. Grupos de ransomware, bandas de compromiso del correo corporativo (BEC) y ladrones de identidad.
• Amenazas internas: empleados descontentos, contratistas con acceso excesivo o personal descuidado que comete errores.
• Estados-nación: relevantes solo para objetivos específicos de alto valor: contratistas gubernamentales, periodistas que cubren temas delicados, disidentes o directivos de empresas de infraestructuras críticas.
• Acosadores o exparejas abusivas: motivados personalmente, pueden tener conocimiento previo de tus hábitos y cuentas.

La mayoría de los particulares y las pequeñas empresas se enfrentan a los dos primeros. Evaluar con precisión quién es probable que te tenga como objetivo evita tanto la inversión insuficiente (ignorar amenazas reales) como la excesiva (construir defensas de nivel estatal contra bots de spam oportunistas).

Paso 3: identifica los vectores de ataque

¿Cómo alcanzaría un adversario tus activos de forma realista? Las vías de ataque comunes incluyen:

• Correos de phishing: siguen siendo el método de acceso inicial más común para todo, desde el ransomware hasta el robo de credenciales
• Contraseñas reutilizadas o filtradas: credenciales de filtraciones antiguas usadas contra cuentas actuales
• Software sin parchear: vulnerabilidades conocidas explotadas antes de aplicar las actualizaciones
• Ingeniería social: manipulación de personas en lugar de sistemas (suplantación del soporte técnico, llamadas de emergencia falsas)
• Acceso físico: dispositivos desbloqueados, espionaje por encima del hombro o un adversario con presencia física
• Cadena de suministro: compromiso a través de un proveedor de confianza o una dependencia de software

Para cada vector de ataque, pregúntate: ¿es realista para mis adversarios? ¿Tengo controles que lo mitiguen?

Paso 4: evalúa la probabilidad y el impacto

No todas las amenazas merecen la misma atención. Usa una matriz de riesgo sencilla:

• Alta probabilidad + Alto impacto = Abordar de inmediato
• Alta probabilidad + Bajo impacto = Abordar de forma rentable
• Baja probabilidad + Alto impacto = Mantener la conciencia, tener un plan
• Baja probabilidad + Bajo impacto = Aceptar el riesgo

Para la mayoría de los particulares, las contraseñas reutilizadas (alta probabilidad, alto impacto) deberían ser la primera prioridad. Para una empresa sanitaria, los datos de pacientes sin cifrar en reposo (impacto normativo y legal) tienen prioridad independientemente de la probabilidad de filtración.

Paso 5: selecciona contramedidas

Una vez que sabes qué defiendes, quién ataca y cómo, puedes tomar decisiones racionales sobre los controles:

• Phishing → Formación en concienciación sobre seguridad, filtrado de correo, MFA
• Contraseñas filtradas → Gestor de contraseñas, contraseñas únicas por sitio, monitorización de filtraciones
• Software sin parchear → Actualizaciones automáticas, inventario de activos, gestión de parches
• Acceso físico → Cifrado de disco completo, bloqueo de pantalla, política de mesa limpia
• Amenaza interna → Mínimo privilegio, registro de accesos, separación de funciones

El marco STRIDE

Para los desarrolladores de software y los ingenieros de seguridad, STRIDE es una forma estructurada de categorizar las amenazas:

• Spoofing (suplantación): hacerse pasar por otro usuario o sistema
• Tampering (manipulación): modificar datos en tránsito o en reposo
• Repudiation (repudio): negar que se produjo una acción
• Information disclosure (divulgación de información): exponer datos a partes no autorizadas
• Denial of service (denegación de servicio): dejar un sistema no disponible
• Elevation of privilege (elevación de privilegios): obtener un acceso superior al autorizado

Aplica STRIDE a cada componente de tu sistema para sacar a la luz amenazas que de otro modo podrías pasar por alto.

Mantenerlo práctico

El modelado de amenazas no requiere herramientas ni consultores caros. Una pizarra, una lista de activos y una conversación honesta sobre quién podría quererlos bastan para empezar. Revisa tu modelo cuando:

• Añadas nuevos sistemas o servicios
• Tu situación empresarial o personal cambie
• Una filtración pública importante afecte a un software que uses
• Contrates nuevos empleados con acceso elevado

El objetivo no es un modelo perfecto y exhaustivo. El objetivo es dedicar tus limitados recursos de seguridad a las amenazas que tienen más probabilidades de afectarte.