# Modelagem de ameaças com STRIDE

Modelagem de ameaças é o exercício de olhar o sistema pelos olhos do atacante ANTES de ele olhar. O
método STRIDE dá seis lentes para não esquecer nenhuma classe de ameaça em cada fronteira de confiança.

## Fronteira de confiança

O conceito central: todo lugar onde o dado cruza de um domínio controlado para um não-controlado (ou
com nível de confiança diferente) é uma fronteira. Ex.: browser → API, API → banco, serviço → serviço
externo, código → arquivo do usuário. As ameaças moram nas fronteiras, não no interior.

## As seis lentes STRIDE

| Letra | Ameaça | Pergunta | Mitigação típica |
|---|---|---|---|
| **S** | Spoofing (falsificação de identidade) | Dá para se passar por outro? | autenticação forte, tokens assinados |
| **T** | Tampering (adulteração) | Dá para alterar dado em trânsito/repouso? | integridade (HMAC), TLS, validação |
| **R** | Repudiation (repúdio) | Dá para negar que fez? | logs de auditoria assináveis, trilha |
| **I** | Information disclosure (vazamento) | Dá para ler o que não devia? | criptografia, authz por recurso, minimização |
| **D** | Denial of service | Dá para derrubar/exaurir? | rate limit, quotas, timeouts, back-pressure |
| **E** | Elevation of privilege | Dá para virar admin? | authz por operação, princípio do menor privilégio |

## Como aplicar

1. Desenhe os componentes e os fluxos de dado — e MARQUE as fronteiras de confiança.
2. Marque onde vivem os ativos sensíveis (credenciais, PII, dinheiro).
3. Para cada fronteira, passe as seis lentes: a ameaça é possível? Há mitigação? Se não, é achado.
4. Priorize por impacto × alcance (a ameaça que atinge todos vence a que atinge um).

## Anti-padrões

- Modelar só o caminho feliz — o modelo tem de incluir o fluxo do atacante.
- Diagrama sem fronteiras de confiança — vira decoração, não análise.
- Tratar mitigação documentada como mitigação existente — verifique que ela roda.