CAPEC: como um ataque explora uma fraqueza

Para que serve um padrão de ataque

CAPEC fornece um vocabulário comum para descrever como um ataque funciona, independentemente do produto visado. Cada entrada fornece os pré-requisitos do invasor, as etapas de execução, as habilidades necessárias, os pontos fracos explorados e as contramedidas conhecidas.

Para uma equipe defensiva, é uma ferramenta de modelagem de ameaças: cada fraqueza identificada em seu código é mapeada para padrões de ataque documentados e, portanto, para defesas que você pode identificar sem precisar inventá-las.

Um padrão passo a passo: CAPEC-66, injeção SQL

Uma entrada CAPEC parece um manual. Aqui está CAPEC-66 resumido em quatro etapas:

1. Explorar. O invasor envia uma única cotação em cada campo do formulário e observa as mensagens de erro. Um erro de sintaxe SQL mostrado na tela já é uma resposta.
2. Sonda. Eles injetam uma condição sempre verdadeira para ver se a consulta se comporta de maneira diferente e, em seguida, medem os tempos de resposta quando nenhuma mensagem aparece.
3. Explorar. Eles encadeiam uma segunda consulta para extrair a estrutura do banco de dados e, em seguida, seu conteúdo.
4. Persista. Dependendo dos privilégios da conta do banco de dados, eles gravam um arquivo no servidor ou criam uma conta de aplicativo.

A fraqueza explorada é CWE-89. As contramedidas listadas na entrada são padrão e eficazes: instruções preparadas, validação rigorosa de entrada, uma conta de banco de dados com privilégios mínimos, mensagens de erro que não revelam nada ao cliente. Essa continuidade — desde a movimentação do invasor até a linha de código que você precisa escrever — é o que torna o catálogo valioso.

Alguns padrões comuns

O catálogo completo conta com mais de 600 padrões. É publicado pela MITRE em capec.mitre.org.

Três níveis de abstração

Existem padrões em diversas escalas, e misturar os níveis é a principal fonte de mal-entendidos:

• meta: uma estratégia geral, por exemplo “injetar”. Útil para estruturar um workshop de modelagem de ameaças.
• Padrão: uma técnica identificável, por exemplo injeção de SQL. Este é o nível com o qual você pode trabalhar no dia a dia.
• Detalhado: uma implementação precisa, vinculada a CWEs específicos. Este é o nível de teste de penetração.

Comece no geral e vá até os detalhes: um workshop que começa no Detalhado o nível se perde em casos extremos antes de cobrir as famílias principais.

CAPEC ou MITRE ATT&CK?

Ambos os catálogos vêm da mesma editora e são frequentemente confundidos. Eles descrevem diferentes momentos:

Uma equipe de desenvolvimento trabalha com o CAPEC; um centro de operações de segurança funciona com o ATT&CK. Os dois se encontram no acesso inicial, que é o último capítulo do primeiro e o primeiro capítulo do segundo.

O que isso significa para você, na prática

CAPEC não é um catálogo para monitorar no dia a dia — não muda muita coisa. É útil em dois momentos: quando você projeta um recurso sensível (autenticação, upload de arquivo, chamada para um serviço de terceiros), listando os padrões conhecidos que o direcionam; e quando você escreve o escopo de um teste de penetração, nomeando os padrões a serem cobertos em vez de pedir “um pentest”.