Checkpoint 3 da disciplina de Segurança (FIAP, 2º semestre de 2025). O projeto faz o threat modeling do FinanceShop, um e-commerce financeiro na AWS que processa dados de cartão de crédito, e por isso precisa atender ao PCI DSS Level 1.
A análise usa o STRIDE para identificar as ameaças em cada componente da arquitetura e o DREAD para dar uma nota de risco a cada uma, chegando a 29 vulnerabilidades mapeadas, priorizadas e com mitigação definida.
O diagrama mostra as zonas de confiança (Internet, DMZ/Edge, VPC privada e a camada de segurança), os serviços AWS de cada zona e os principais vetores de ataque (em rosa): DDoS na CloudFront, SQL Injection na API Gateway e o insider buscando credenciais no Secrets Manager.
| Entregável | Conteúdo |
|---|---|
| Arquitetura analisada | CloudFront + S3, Route 53, WAF, API Gateway, Lambda, ECS Fargate, RDS PostgreSQL, DynamoDB, S3, EFS |
| Threat agents | Hacker externo, insider, bots automatizados |
| STRIDE por componente | 29 vulnerabilidades (6 críticas, 15 altas, 8 médias) |
| Matriz DREAD | Nota de 5.4 a 8.4 e prioridade P1 a P3 para cada ameaça |
| Controles de segurança | KMS, Secrets Manager, GuardDuty, WAF, CloudWatch, X-Ray, Security Hub, Inspector e Macie |
| Compliance | Mapeamento dos 12 requisitos do PCI DSS Level 1 |
| Resposta a incidentes | Plano de resposta e recomendações |
| Parte 2 | Questões objetivas sobre threat modeling, com justificativa |
| ID | Ameaça | Componente | DREAD |
|---|---|---|---|
| V01 | DDoS | CloudFront | 8.4 |
| V09 | Injection (SQL, NoSQL, comando) | API Gateway | 8.2 |
| V12 | Exposição de secrets | Lambda | 8.2 |
| V20 | SQL Injection | RDS PostgreSQL | 8.2 |
| V25 | Data breach (ransomware) | S3 (PII/PCI) | 8.2 |
| V07 | Broken Authentication | API Gateway | 8.0 |
| V11 | Code Injection | Lambda | 7.2 |
- STRIDE: classificação das ameaças (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege);
- DREAD: nota de risco (Damage, Reproducibility, Exploitability, Affected Users, Discoverability);
- PCI DSS Level 1: requisitos de segurança para dados de cartão;
- Borda: Amazon CloudFront, Route 53, AWS WAF e API Gateway;
- Aplicação: AWS Lambda e Amazon ECS Fargate;
- Dados: Amazon RDS PostgreSQL, DynamoDB, S3 e EFS;
- Segurança e monitoramento: KMS, Secrets Manager, GuardDuty, CloudWatch, X-Ray, Security Hub, Inspector e Macie.
fiap-sec-cp3/
├── docs/
│ ├── arch.gif # Diagrama do threat model (zonas, serviços e vetores de ataque)
│ ├── threat-model.md # Análise completa: STRIDE, DREAD, controles, PCI DSS e Parte 2
│ └── FinanceShop-ThreatModel.png
└── README.md # Visão macro do projeto
- Mapear a arquitetura do FinanceShop e separar os componentes em zonas de confiança: Internet, DMZ/Edge, VPC privada e camada de segurança.
- Identificar os threat agents: hacker externo, insider e bots automatizados.
- Aplicar o STRIDE em cada componente (CloudFront, S3, WAF, API Gateway, Lambda, ECS, RDS, DynamoDB, EFS e Route 53).
- Calcular o DREAD de cada vulnerabilidade e priorizar de P1 a P3.
- Definir os controles de segurança de cada ameaça com serviços AWS.
- Mapear os controles nos 12 requisitos do PCI DSS e montar o plano de resposta a incidentes.
Em uma revisão da entrega, cada ameaça do diagrama deve ter classificação STRIDE, nota DREAD e controle correspondente na análise.
Pontos principais de validação:
- diagrama com as quatro zonas de confiança e os vetores de ataque;
- 29 vulnerabilidades identificadas, com componente, categoria STRIDE e impacto;
- matriz DREAD com a fórmula e a prioridade de cada ameaça;
- mitigação definida para todas as ameaças críticas (P1);
- os 12 requisitos do PCI DSS Level 1 mapeados;
- plano de resposta a incidentes e as questões da Parte 2 respondidas.
A análise completa (STRIDE por componente, matriz DREAD, controles, PCI DSS, resposta a incidentes e a Parte 2) está em docs/threat-model.md.
William Alves Coelho · RM 556336 · @willtechdev