Threat model por capas

Un threat model que se mantiene al día: una capa por cada parte de la línea, alimentada por lo que ven los demás módulos, de modo que un cambio en cualquier capa reabre las amenazas que tiene encima.

Únete al acceso anticipado →Todos los módulos

Threat model por capas · vista previa

Qué vigila

Feature y datos
Qué hace la funcionalidad, los datos que toca y quién puede usarla, escrito con negocio y devs.
Código
Las rutas que mueven dinero, comprueban identidad o procesan entradas externas, y los hallazgos que hay en ellas.
Dependencias
Los paquetes que usa cada servicio, sus maintainers y sus problemas conocidos, desde la flota y el firewall.
Build y pipeline
Quién y qué puede cambiar el artefacto entre el merge y el registry.
Registry y artefactos
Si lo que se almacena está firmado, descrito por un SBOM y es trazable a un build.
Runtime y nube
Dónde se ejecuta cada versión, a qué puede llegar y qué llega a ella.
Identidad y acceso
Qué personas, servicios y agentes tienen las claves en cada capa.

Siete capas, un modelo

Cada capa lista sus propias amenazas y los datos que las mantienen honestas. Cuando cambia una capa inferior, las amenazas que dependen de ella se marcan para revisión.

7
Identidad & accesoPersonas, servicios y agentes con claves
Amenaza¿Quién puede aprobar un deploy? ¿Qué agente tiene un token de cloud?
Alimentado porproveedor de identidad, postura de IA
6
Runtime & nubeDónde se ejecuta cada versión y a qué llega
Amenaza¿El digest en ejecución es el que revisamos?
Alimentado porCode to Cloud
5
Registry & artefactosFirmados, descritos, trazables
Amenaza¿Puede alguien subir una imagen que producción vaya a descargar?
Alimentado porCode to Cloud
4
Build & pipelineDel merge al artefacto
Amenaza¿Puede una pull request cambiar el propio build?
Alimentado porAuditor de pipelines
3
DependenciasPaquetes y sus maintainers
Amenaza¿Qué pasa si un paquete central publica una versión defectuosa?
Alimentado porFlota de desarrolladores, package firewall
2
CódigoRutas de riesgo y sus hallazgos
Amenaza¿Pueden dos peticiones canjear el mismo saldo?
Alimentado porescaneos, revisión de código
1
Funcionalidad & datosQué hace, para quién, con qué datos
Amenaza¿Quién puede canjear puntos dos veces?
Alimentado porsesiones de threat modeling