Modelado de un ataque con Árboles de Ataque

Introducción

Para proteger a las empresas en materia de ciberseguridad es importante que se haga un análisis de riesgo para poder detectar cuáles son las vulnerabilidades que ésta posee y, de esta forma, mitigar los riesgos asociados a las amenazas que pueden explotar dichas vulnerabilidades.

Hoy en día, existen múltiples formas de ataques que pueden intentar explotar las vulnerabilidades de nuestra empresa. Principalmente, estos ataques son una combinación de ataques tecnológicos con ataques de ingeniería social.

Una buena forma de detectar los riesgos asociados en nuestra organización y establecer un mecanismo de prevención es realizar un modelado de ataque mediante el uso de un Árbol de Ataque.

Un Árbol de Ataque es un modelo de la realidad simplificado que nos permite ver, mediante una representación gráfica, las acciones que se llevan a cabo para perpetrar un ataque y cómo éstas se relacionan entre si, de esta forma, podemos saber cómo defender nuestra organización frente un ataque TI.

Para realizar un buen Árbol de Ataque, nos tenemos que poner en la piel de nuestro atacante. Hemos de pensar como un atacante, volvernos el enemigo de nuestra organización, ser los “malos de la película”, pasarnos al lado oscuro haciendo que nuestro corazón se vuelva negro y tenebroso.

Esta idea de representación de un ataque fue popularizada por Bruce Schneier en diciembre de 1999. Bruce Schneier es un experto criptógrafo y autor de múltiples libros relacionados con la seguridad informática y la privacidad.

Representación y elementos del Árbol

Existen distintas representaciones de los Arboles de Ataque. En este Post vamos a ver la representación básica de estas estructuras tan útiles para detectar nuestras vulnerabilidades.

Un Árbol de Ataque se representa mediante una estructura en forma de árbol compuesto por:

1. Nodo Raíz: se encuentra en la parte superior del árbol representado por un circulo. Representa el objetivo del ataque. Algunos ejemplos de objetivos del ataque pueden ser desde realizar un Defacement, obtener credenciales bancarias hasta obtener información sensible.

2. Nodos: representan las acciones que se llevan a cabo para perpetrar el ataque y tienen forma cuadrada. Estas acciones pueden ser desde realizar una llamada telefónica haciéndose pasar por un falso técnico, un envío de un correo electrónico o, incluso, infectar un equipo con un troyano. Estos nodos pueden complementarse con diversos datos, como pueden ser una breve descripción de la acción, cálculo de la probabilidad de que ocurra dicha acción, el coste económico que puede conllevar realizar la acción o, incluso, si se necesita unos medios técnicos específicos. Un ejemplo de nodo podría ser el que se muestra en la figura siguiente:

3. Relaciones: muestran cómo se conectan las acciones entre ellas. Es posible que para realizar una acción sea necesario que se hayan cumplido una serie de acciones anteriores. La representación de las relaciones se realiza mediante el uso de puertas lógicas, es por ello que existen tres tipos de relaciones:
   • • Relación secuencial: no se puede realizar la siguiente acción si previamente no se ha realizado la anterior. Su representación es solo mediante una flecha.
       • Relación AND: es posible que para realizar la siguiente acción se deban cumplir una serie de acciones previas. Con esta relación se pueden ver todas acciones que han de cumplirse, si o si, antes de la siguiente acción.
       • Relación OR: también es posible, que se pueda pasar a la siguiente acción si solo se cumple una acción anterior. La mejor forma de representar esta situación es mediante el uso de esta relación. Solo con que se cumpla una de las acciones posteriores, ya se puede pasar a la siguiente acción.

   Posteriormente al diseño del Árbol de Ataque se pueden establecer una serie de contramedidas para evitar que las distintas acciones se lleven a cabo y mitigar el riesgo relacionado con el posible ataque.

   A continuación, se muestra un ejemplo de Árbol de Ataque donde el atacante quiere acceder a un email con información confidencial.

   Referencias

   https://www.schneier.com/academic/archives/1999/12/attack_trees.html

   https://www.amenaza.com/downloads/docs/AttackTreeThreatRiskAnalysis.pdf

   https://en.wikipedia.org/wiki/Bruce_Schneier