STRIDE

La pregunta “¿qué puede salir mal?” delante de un diagrama en blanco suele producir dos cosas: silencio o una lista de vulnerabilidades de moda (“¿y la inyección SQL?”). STRIDESTRIDEMnemotecnia de Microsoft (1999) con seis categorías de amenaza; cada una viola una propiedad de seguridad distinta. resuelve ese bloqueo con seis preguntas concretas que se hacen a cada elemento del sistema. No garantiza encontrarlo todo, pero hace que el análisis sea sistemático y repetible: dos equipos distintos que aplican STRIDE al mismo DFD llegan a listas parecidas.

De dónde viene#

Loren Kohnfelder y Praerit Garg lo propusieron en Microsoft en 1999, en un documento interno titulado The Threats to Our Products. El nombre es un acrónimo: cada letra es una categoría de amenaza, y cada categoría es lo contrario de una propiedad de seguridad que el sistema debería garantizar.

Las seis categorías#

Tres de las propiedades (confidencialidad, integridad y disponibilidad) son la tríada CIA. STRIDE añade autenticación, no repudio y autorización, que son las que suelen fallar en aplicaciones web y en cloud.

STRIDE en Citas#

Aplicado al sistema de referencia, cada categoría se traduce en amenazas concretas y en las mitigaciones que las frenan. Las mitigaciones se describen por lo que hacen; entre paréntesis va el nombre que reciben en la nube de referencia (AWS):

La amenaza E es de las más habituales en APIs. El fallo está en confiar en el cuerpo de la petición tal como llega:

app.patch('/api/usuarios/:id', auth, async (req, res) => {
  const usuario = await db.usuarios.findById(req.params.id);
  Object.assign(usuario, req.body); // incluye "role" si el cliente lo envía
  await usuario.save();
  res.json(usuario);
});

const Perfil = z
  .object({
    nombre: z.string().max(80),
    telefono: z.string().regex(/^\+?[0-9 ]{7,15}$/),
  })
  .strict(); // rechaza cualquier campo no declarado, como "role"

app.patch('/api/usuarios/:id', auth, async (req, res) => {
  if (req.params.id !== req.user.id) return res.sendStatus(403);
  const cambios = Perfil.parse(req.body);
  await db.usuarios.update(req.user.id, cambios);
  res.sendStatus(204);
});

La versión segura corrige dos amenazas a la vez: la E (no se puede tocar role) y una I/T por IDOR (no se puede editar el perfil de otro usuario cambiando el :id).

STRIDE por elemento#

No todas las letras aplican a todos los elementos del DFD. Microsoft popularizó esta tabla, que ahorra mucho tiempo:

* El repudio aplica a un almacén cuando ese almacén es un registro de auditoría: si alguien puede borrarlo o alterarlo, nadie puede demostrar lo que pasó.

La lógica es intuitiva: una entidad externa puede ser suplantada o negar sus actos, pero no “manipularla” tú; un flujo puede ser interceptado, alterado o cortado, pero no “eleva privilegios” por sí mismo; un proceso, que ejecuta código, puede sufrirlo todo.

STRIDE por interacción#

Una variante más fina analiza interacciones: tuplas de origen, destino y flujo (por ejemplo, “Paciente → Edge: reserva”). En lugar de preguntar por cada elemento aislado, se pregunta qué puede salir mal en esa interacción concreta, sobre todo cuando cruza un límite de confianza. Es el enfoque que usa Microsoft Threat Modeling Tool para generar amenazas automáticamente a partir del diagrama. Produce menos duplicados en sistemas grandes, a cambio de más trabajo inicial.

Cómo redactar una amenaza#

“Inyección SQL” no es una amenaza, es una categoría de vulnerabilidad. Una amenaza útil dice quién puede hacer qué, en qué condiciones y con qué impacto. Una estructura que funciona bien (inspirada en la gramática de amenazas de threat-composer↗):

[Fuente de la amenaza] [con estas precondiciones] puede [acción], lo que provoca [impacto], afectando a la [propiedad] de [activos].

Aplicado a Citas:

Un atacante externo que dispone de credenciales filtradas de un paciente puede iniciar sesión como ese paciente, lo que le permite ver y cancelar sus citas, afectando a la confidencialidad e integridad de los datos de citas del paciente.

Redactada así, la amenaza ya sugiere las mitigaciones (MFA, detección de credenciales comprometidas, alertas de inicio de sesión) y se puede priorizar con criterio.

Para las amenazas de repudio, la mitigación casi siempre es un registro que nadie pueda alterar. Los registros de auditoría del proveedor de nube (ejemplo: CloudTrail) cubren las acciones sobre la infraestructura, pero “cancelar una cita” es una acción de tu aplicación, así que necesitas tu propio log de auditoría con la identidad del token:

{
  "timestamp": "2026-10-11T09:42:17Z",
  "actor": {
    "sub": "c0a8f2e4-91b7-4d2a-9f60-1e2b3c4d5e6f",
    "rol": "recepcionista",
    "clinica": "clinica-12"
  },
  "accion": "cita.cancelar",
  "recurso": "cita/8f31",
  "origen": { "ip": "203.0.113.24" },
  "resultado": "ok",
  "request_id": "a1f3c9e2-7b44-4c1d-8e0f-5d6a7b8c9d0e"
}

Y para que ni un administrador pueda borrarlo, se guarda en un almacén de objetos con retención inmutable (WORM) en modo compliance: durante el periodo de retención (por ejemplo, 365 días) nadie —ni siquiera la cuenta raíz— puede borrar ni sobrescribir los objetos. Casi todas las nubes ofrecen esta garantía bajo otro nombre:

En resumen#

• STRIDE son seis categorías de amenaza: Spoofing, Tampering, Repudiation, Information disclosure, Denial of service, Elevation of privilege.
• Cada una viola una propiedad: autenticación, integridad, no repudio, confidencialidad, disponibilidad y autorización.
• STRIDE por elemento limita las preguntas según el tipo de elemento del DFD; por interacción analiza origen, destino y flujo.
• Empieza por los flujos que cruzan límites de confianza.
• Una amenaza útil dice quién, en qué condiciones, qué hace y con qué impacto.
• El repudio necesita logs de auditoría propios e inmutables; los registros del proveedor de nube (ejemplo: CloudTrail) solo cubren las acciones sobre la infraestructura.

Referencias#

• Microsoft: Threat Modeling Tool, categorías de amenazas↗
• Adam Shostack, Threat Modeling: Designing for Security (Wiley, 2014), capítulo 3
• OWASP Threat Modeling Cheat Sheet↗
• threat-composer (AWS Labs)↗
• Amazon S3 Object Lock↗
• AWS WAF: reglas rate-based↗
• OWASP API Security Top 10: Broken Object Property Level Authorization↗