01
Las seis categorías
Spoofing analiza suplantación; Tampering, modificación no autorizada; Repudiation, negación de acciones; Information Disclosure, exposición; Denial of Service, pérdida de disponibilidad; y Elevation of Privilege, aumento de capacidades.
Las categorías ayudan a evitar puntos ciegos, pero no asignan por sí solas prioridad ni control. El contexto del flujo y del activo sigue siendo esencial.
- 01Suplantación
- 02Manipulación
- 03Repudio
- 04Divulgación
- 05Denegación
- 06Privilegios
Cada categoría abre preguntas; el resultado útil es un escenario específico sobre Reserva de espacios.
02
Aplicación por elemento
Los procesos e identidades invitan a revisar suplantación y privilegios; los flujos, manipulación y divulgación; los almacenes, integridad, acceso y disponibilidad. Esta asociación es una ayuda, no una restricción rígida.
En Reserva de espacios, cambiar groupId puede producir divulgación o elevación de privilegio según el efecto; una firma ausente en un evento permite manipulación; y registros incompletos facilitan repudio.
03
De categoría a escenario
“Existe spoofing” no es una amenaza accionable. Debe indicarse quién suplanta a quién, mediante qué mecanismo, qué componente confía en esa identidad y qué consecuencia se obtiene.
Un buen enunciado permite derivar requisitos, controles, pruebas y señales de detección sin volver a interpretar el hallazgo desde cero.
Criterios para aplicarlo
- Aplicar categorías sobre elementos concretos.
- Evitar amenazas de una sola palabra.
- Conservar el vínculo con activo e impacto.
- Registrar controles existentes antes de proponer nuevos.
04 · Práctica guiada · opcional
Practica lo aprendido
Explora autenticación, reserva, evento y auditoría; redacta una amenaza concreta por flujo.
- 01Selecciona elemento o flujo.
- 02Recorre categorías pertinentes.
- 03Redacta escenario completo.
- 04Registra controles existentes.
- 05Señala evidencia faltante.
Ver solución orientativa
Autenticación: token de audiencia incorrecta aceptado por el servicio de aplicación.
Reserva: operador modifica cantidad de asistentes entre creación y aprobación.
Evento: tercero reenvía una notificación válida para duplicar estado.
Auditoría: acción crítica carece de identidad y correlación, permitiendo repudio.
05
Comprueba lo aprendido
Responde antes de abrir la explicación. Esta comprobación es opcional y no guarda una puntuación.
01¿STRIDE asigna severidad?
No. Ayuda a descubrir amenazas; la prioridad se analiza después.
02¿Todas las categorías aplican igual a cada elemento?
No. Se usan como preguntas pertinentes según proceso, flujo, almacén e identidad.
03¿Por qué “spoofing” no basta como hallazgo?
No identifica actor, mecanismo, componente afectado ni consecuencia.
Cómo demostrar el objetivo
Compara tu práctica con estos resultados. Si solo diseñaste una prueba, registra su resultado como esperado, no como observado.
- Las cuatro amenazas se vinculan con autenticación, reserva, evento y auditoría.
- Cada enunciado describe mecanismo y consecuencia; no atribuyes severidad automática a STRIDE.
Qué debes recordar
- STRIDE es una guía de exploración, no una lista automática.
- Cada categoría debe expresarse como escenario concreto.
- Autorización, trazabilidad y resiliencia requieren preguntas diferentes.
Tu cuaderno · notas personales
Cuaderno local
Tus notas del contenido
Se guardan únicamente en este dispositivo. Puedes exportarlas cuando quieras.
Material de apoyo · descarga, glosario y referencias
Consulta las condiciones de reutilización de los recursos descargables. Procedencia y condiciones de uso.