Realizando Modelagem de Ameaças com OWASP Threat Dragon

Visão Geral

OWASP Threat Dragon é uma ferramenta de modelagem de ameaças de código aberto que permite que equipes de segurança e desenvolvedores criem diagramas de modelagem de ameaças, identifiquem ameaças usando metodologias estabelecidas (STRIDE, LINDDUN, CIA, DIE, PLOT4ai) e gerem relatórios abrangentes. O Threat Dragon funciona como um aplicativo web e desktop (Windows, macOS, Linux), suportando equipes distribuídas que trabalham colaborativamente em modelos de ameaças. A versão 2.x oferece criação de diagramas por arrastar e soltar, um motor de regras de auto-geração para ameaças e mitigações, e saída de relatório em PDF para documentação e conformidade GRC.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a modelagem de ameaças com o OWASP Threat Dragon.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar atividades agendadas de testes de segurança ou auditoria.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Aplicativo desktop OWASP Threat Dragon ou instância web.
• Compreensão da notação de diagrama de fluxo de dados (DFD).
• Familiaridade com a classificação de ameaças STRIDE ou LINDDUN.
• Documentação da arquitetura da aplicação e diagramas de rede.
• Acesso de partes interessadas para sessões de revisão de design.

Metodologias de Modelagem de Ameaças

STRIDE

LINDDUN (Focado em Privacidade)

Fluxo de Trabalho

Passo 1 --- Instalar o Threat Dragon

Aplicativo Desktop: Baixe o instalador na página de lançamentos do OWASP Threat Dragon para Windows (.exe), macOS (.dmg) ou Linux (.AppImage/.deb/.rpm).

Aplicativo Web (Docker):

docker run -p 3000:3000 \
  -e ENCRYPTION_JWT_SIGNING_KEY=$(openssl rand -hex 32) \
  -e ENCRYPTION_JWT_REFRESH_SIGNING_KEY=$(openssl rand -hex 32) \
  -e ENCRYPTION_KEYS='[{"isPrimary":true,"id":0,"value":"'$(openssl rand -hex 16)'"}]' \
  -e NODE_ENV=production \
  owasp/threat-dragon:latest

Passo 2 --- Definir o Escopo

Antes de criar diagramas, documente o escopo:

• Nome e descrição do sistema.
• Ativos que estão sendo protegidos (dados do usuário, credenciais, informações de pagamento).
• Dependências externas (APIs de terceiros, serviços em nuvem).
• Requisitos de conformidade (GDPR, HIPAA, PCI DSS).
• Limites de confiança (segmentos de rede, zonas de autenticação).

Passo 3 --- Criar Diagramas de Fluxo de Dados

No Threat Dragon, crie um novo modelo de ameaças e adicione diagramas usando os seguintes elementos de DFD:

Processos: Aplicações, microsserviços, endpoints de API que transformam dados. Representados como círculos/retângulos arredondados.

Armazenamentos de Dados: Bancos de dados, sistemas de arquivos, caches, filas de mensagens que persistem dados. Representados como linhas paralelas.

Entidades Externas: Usuários, sistemas externos, serviços de terceiros fora do limite de confiança. Representados como retângulos.

Fluxos de Dados: Canais de comunicação entre elementos mostrando a direção dos dados. Representados como setas com rótulos descrevendo os dados.

Limites de Confiança: Linhas tracejadas separando zonas de diferentes níveis de confiança (internet/DMZ/rede interna, usuário/administrador).

Passo 4 --- Identificar Ameaças

Para cada elemento do DFD, aplique a metodologia STRIDE:

…