Tríade CIA, Ameaças e Modelagem STRIDE
Pilares da segurança da informação, vetores de ameaça e metodologia STRIDE para modelagem defensiva de arquiteturas de software e sistemas.
1. Introdução e Contexto Prático da Cibersegurança
Cibersegurança moderna não é um produto de software, uma caixa de firewall ou uma lista estática de regras antivírus; é uma disciplina contínua de gerenciamento de risco e engenharia de resiliência. O objetivo primário de qualquer arquiteto ou analista defensivo é assegurar que a missão do negócio prospere mesmo na presença inevitável de adversários capacitados e falhas estruturais de tecnologia.
Para estruturar qualquer política, controle ou auditoria, a indústria internacional e normas consagradas — como a ISO/IEC 27001 e o NIST SP 800-12 — estabelecem que a segurança da informação sustenta-se sobre três pilares essenciais: a Tríade CIA (Confidentiality, Integrity, Availability).
Os Três Pilares da Tríade CIA
🔒 Confidencialidade (Confidentiality)
Garante que a informação não seja divulgada ou disponibilizada a indivíduos, entidades ou processos computacionais não autorizados. Trata-se de manter o segredo e a privacidade de dados sensíveis (PII, propriedade intelectual, credenciais, segredos de estado).
Controles Típicos: Criptografia forte (AES-256-GCM, TLS 1.3), controle de acesso rigoroso (RBAC/ABAC), Mascaramento de dados e Data Loss Prevention (DLP).
🛡️ Integridade (Integrity)
Salvaguarda a exatidão, completeza e autenticidade dos dados e métodos de processamento contra modificações não autorizadas, corrupções acidentais ou adulterações maliciosas em repouso ou em trânsito.
Controles Típicos: Funções de resumo criptográfico (SHA-256), assinaturas digitais, HMAC, controle de versão auditável e File Integrity Monitoring (FIM).
⚡ Disponibilidade (Availability)
Assegura que os usuários, serviços e sistemas autorizados tenham acesso oportuno, ininterrupto e confiável à informação e aos recursos operacionais no exato instante em que requisitados.
Controles Típicos: Redundância geográfica, clusters ativo-ativo, mitigação de DDoS, balanceadores de carga com health-checks, backups com teste de restauração (RTO/RPO).
A Contrapartida Ofensiva: A Tríade DAD
Enquanto o defensor trabalha para sustentar a Tríade CIA, o adversário cibernético opera com objetivos simétricos e opostos, sistematizados na Tríade DAD:
| Pilar Defensivo (CIA) | Vetor Adversário (DAD) | Impacto Real no Negócio | Exemplo Prático de Ataque |
|---|---|---|---|
| Confidencialidade | Divulgação (Disclosure) | Vazamento de segredos industriais, violação de privacidade (multas LGPD/GDPR), espionagem. | Exfiltração de banco de dados via SQL Injection ou bucket S3 com leitura pública não autenticada. |
| Integridade | Alteração (Alteration) | Adulteração de saldos bancários, modificação de prontuários médicos, envenenamento de dados. | Ataque Man-in-the-Middle (MitM) manipulando parâmetros de requisição ou modificando hashes de pacotes. |
| Disponibilidade | Destruição / Negação (Destruction / Denial) | Paralisação de operações fabris, desligamento de e-commerce, perda de reputação por SLA rompido. | Ataques volumétricos de negação de serviço (DDoS) ou infecção por ransomware criptografando volumes inteiros. |
Extensões Fundamentais: Autenticidade e Não-Repúdio
Embora a Tríade CIA seja a referência clássica, arquiteturas de missão crítica exigem duas propriedades complementares indispensáveis:
- Autenticidade (Authenticity): Propriedade que garante a veracidade da identidade alegada de um sujeito (seja um operador humano, um processo ou um microserviço). A autenticidade assegura que quem está comunicando é genuinamente quem afirma ser.
- Não-Repúdio (Non-Repudiation): Capacidade de provar a autoria e a ocorrência irrevogável de uma transação ou ação digital, impedindo que o emissor ou receptor negue formalmente sua participação. Implementa-se através de assinaturas digitais assimétricas com chaves privadas exclusivas e trilhas de auditoria criptograficamente imutáveis.
Princípios Arquiteturais Cardeais: Menor Privilégio e Defesa em Profundidade
Na engenharia de segurança, dois princípios arquiteturais orientam todas as decisões de projeto defensivo:
🔑 Princípio do Menor Privilégio (PoLP)
Qualquer usuário, processo do sistema operacional, conta de serviço ou contêiner deve ser configurado com o conjunto estritamente mínimo de privilégios e permissões necessário para cumprir sua tarefa legítima, e apenas durante o tempo exato em que a tarefa é executada.
Exemplo Prático: Aplicações web nunca devem conectar ao banco de dados com usuário sa ou root, nem rodar contêineres Docker com privilégios de root no host.
🏰 Defesa em Profundidade (Defense in Depth)
Estruturação de defesas em camadas concêntricas independentes. Nenhuma organização deve apostar a totalidade de sua segurança em uma única barreira (como um firewall de borda). Se a primeira camada falhar, a camada subsequente deve conter o incidente.
Exemplo Prático: Mesmo que um invasor ultrapasse o WAF perimetral, encontrará autenticação mTLS interna, autorização RBAC restritiva, segmentação em micro-redes e dados cifrados em repouso.
root (UID 0) com o Docker socket montado (/var/run/docker.sock) destrói qualquer proteção de isolamento. Em caso de vulnerabilidade de execução remota de código (RCE) na aplicação, o invasor obtém controle total sobre o servidor hospedeiro.
# 1. Gerando e conferindo resumo criptográfico SHA-256 para atestar Integridade
sha256sum pacote_producao.tar.gz > pacote_producao.tar.gz.sha256
sha256sum -c pacote_producao.tar.gz.sha256
# 2. Aplicando Menor Privilégio em diretório de configuração sensível
# Impede leitura/escrita para outros usuários do sistema (chmod 700 / 600)
chmod 700 /etc/app-secrets/
chmod 600 /etc/app-secrets/credentials.env
chown -R appuser:appgroup /etc/app-secrets/2. Fundamentos da Modelagem de Ameaças STRIDE
A modelagem de ameaças é uma atividade estruturada que permite identificar, quantificar e mitigar fraquezas de segurança na fase de concepção e desenho de um sistema, muito antes de linhas de código serem escritas ou servidores provisionados. Identificar e mitigar uma falha na fase de arquitetura pode ser até 60 vezes mais barato do que corrigi-la em produção após um incidente cibernético.
Desenvolvida pela Microsoft no final da década de 1990 por Praerit Garg e Loren Kohnfelder, a metodologia STRIDE decompõe o universo de ameaças em seis categorias mnemônicas fundamentais. Cada letra do acrônimo STRIDE viola diretamente uma propriedade de segurança e exige uma resposta de engenharia específica:
| Letra | Categoria STRIDE | Propriedade Violada | Definição e Vetor de Ataque | Controle Arquitetural Mitigatório |
|---|---|---|---|---|
| S | Spoofing (Falsificação de Identidade) | Autenticidade | O invasor se passa por outro usuário, serviço ou dispositivo legítimo (ex.: roubo de token, session hijacking, IP spoofing). | Autenticação forte (MFA, Passkeys), certificados mTLS mútuos, tokens assinados criptograficamente, SPF/DKIM/DMARC. |
| T | Tampering (Adulteração de Dados) | Integridade | Modificação maliciosa de dados em repouso (disco/banco) ou em trânsito (rede) sem permissão legítima. | Criptografia em trânsito com TLS 1.3, assinaturas digitais, resumos HMAC, File Integrity Monitoring (FIM). |
| R | Repudiation (Repúdio) | Não-Repúdio | Um agente executa uma operação sensível e nega a autoria por ausência de registros ou provas irrefutáveis. | Trilhas de auditoria imutáveis (append-only/WORM), logs centralizados em SIEM com NTP sincronizado e assinaturas digitais. |
| I | Information Disclosure (Vazamento de Informação) | Confidencialidade | Exposição de dados sensíveis ou segredos a atores não autorizados (ex.: stack traces expostos, buckets S3 abertos, tráfego HTTP claro). | Criptografia de ponta a ponta (AES-256), tokenização, mascaramento de dados (DLP), sanitização de respostas de erro da API. |
| D | Denial of Service (Negação de Serviço) | Disponibilidade | Degradação ou exaustão de capacidade operacional (CPU, memória, banda, conexões), tornando o serviço indisponível aos usuários legítimos. | Rate limiting, throttling per-client, balanceamento elástico, scrubbing de DDoS (WAF), timeouts curtos e paginação obrigatória. |
| E | Elevation of Privilege (Elevação de Privilégio) | Autorização | Um usuário com permissões restritas obtém capacidades administrativas ou acesso horizontal/vertical não concedido. | Princípio do menor privilégio, autorização robusta verificada no backend (RBAC/ABAC), contêineres sem root, segregação de funções. |
3. Laboratório Interativo: STRIDE Canvas
Utilize o STRIDE Canvas abaixo para conduzir um exercício realista de modelagem de ameaças. Selecione um ativo da arquitetura do sistema corporativo, analise as ameaças mapeadas para cada categoria STRIDE, simule a ativação de controles mitigatórios e exporte o relatório executivo de risco residual.
🧪 Simulador STRIDE Canvas
Selecione um componente arquitetural para inspecionar ameaças e validar controles defensivos.
4. Checklist de Auditoria: Modelagem de Ameaças em Projetos Reais
Este checklist operacional consolida as etapas mandatórias para a condução de sessões de modelagem de ameaças em squads de desenvolvimento ágil e revisões de arquitetura. O progresso é salvo automaticamente no seu navegador (localStorage) para consultas e auditorias futuras.
Auditoria de Modelagem de Ameaças STRIDE 0 de 6 itens auditados
5. Questões de Fixação e Concursos Públicos
Valide sua compreensão com questões analíticas baseadas em casos práticos e provas de alto nível em segurança cibernética e certificações internacionais:
Questão 1 (Tríade CIA & DAD): Durante um incidente cibernético contra um centro de saúde, operadores de ransomware utilizaram criptografia simétrica para bloquear todos os discos rígidos dos servidores de prontuário eletrônico dos pacientes, sem efetuar a extração externa prévia dos arquivos. Em termos da Tríade CIA e de sua contrapartida ofensiva (Tríade DAD), qual pilar de segurança foi primariamente violado e qual vetor DAD foi concretizado?
Questão 2 (Taxonomia STRIDE): Um atacante intercepta a comunicação de rede de uma aplicação financeira desprovida de TLS e altera o campo "valor_transferencia" de um JSON em trânsito antes que o servidor receba a requisição. Simultaneamente, um funcionário desonesto executa um estorno ilegal no sistema e apaga as linhas correspondentes da tabela de log local para evitar que sua ação seja descoberta. Quais categorias STRIDE descrevem com precisão esses dois eventos e quais mitigações são recomendadas?
Questão 3 (Menor Privilégio & Defesa em Profundidade): Uma empresa expõe uma API pública com WAF na borda, mas o contêiner interno da aplicação executa como usuário root do Linux e possui o socket /var/run/docker.sock montado em seu volume. Sob os princípios de cibersegurança, qual é o diagnóstico arquitetural dessa infraestrutura?
6. Fatos Essenciais, Normas e Próximos Passos
Síntese dos conceitos-chave consolidados neste módulo piloto para consulta rápida e alinhamento normativo:
📚 Tríade CIA & Tríade DAD
A defesa sustenta a Confidencialidade (segredo), Integridade (exatidão) e Disponibilidade (acesso contínuo). O atacante busca a Divulgação (Disclosure), Alteração (Alteration) e Destruição/Negação (Destruction/Denial).
🎯 Mapeamento STRIDE • Microsoft SDL
Spoofing → Autenticação | Tampering → Integridade | Repudiation → Não-Repúdio | Information Disclosure → Confidencialidade | Denial of Service → Disponibilidade | Elevation of Privilege → Autorização.
⚖️ Normas e Frameworks Governamentais
Mapeado diretamente na função Identify (ID) do NIST CSF 2.0 (Categorias ID.AM e ID.RA), nas táticas TA0043 e TA0001 do MITRE ATT&CK, na norma ISO/IEC 27001 e no Art. 46 da LGPD.
🚀 Próximo Estudo Recomendado
Módulo 02: Redes-e-Protocolos
Aprofunde a análise de tráfego, dissecação de cabeçalhos IPv4/IPv6, handshake TCP/IP e inspeção de DNS para consolidar a proteção de perímetros na camada de rede.