Sintesi Tecnica: TRACE – Una metodologia di threat modelling per organizzazioni distribuite, cloud-first e decentralizzate

1. Definizione del problema

Le metodologie consolidate di threat modelling (ad es. STRIDE, PASTA, Trike, OCTAVE, LINDDUN, MITRE ATT&CK) sono state progettate per un'era definita da tre assunzioni fondamentali:

1. Un Perimetro: Una distinzione netta tra zone interne affidabili e avversari esterni non fidati.
2. Proprietà Unica: Un'unica organizzazione possiede gli asset, l'infrastruttura e gli operatori, permettendo una decomposizione pulita del rischio tra "sistema" e "azienda".
3. L'Autorizzazione equivale alla Sicurezza: Se un controllo dei permessi passa, l'azione è sicura; la minaccia primaria è l'attore non autorizzato.

Gli ambienti operativi moderni — caratterizzati da architetture cloud-first, dipendenze SaaS, autorità distribuite (fondatori, contractor, vendor, firmatari multisig, comitati) e principi zero-trust — violano tutte e tre le assunzioni. In questi contesti, i modelli di fallimento dominanti non sono più l'accesso non autorizzato, bensì:

• Attori autorizzati ma malevoli: Ruoli privilegiati che agiscono entro i propri permessi formali per causare danni.
• Collusione: Fallimenti coordinati tra parti nominalmente indipendenti (ad es. firmatari multisig, comitati di governance).
• Compromissione del piano di controllo e della supply chain: Attacchi diretti alle pipeline CI/CD, ai sistemi di build e ai provider di identità piuttosto che all'applicazione in esecuzione.
• Gestione operativa errata: Errori umani nelle cerimonie di approvazione o nei percorsi di ripristino.

I metodi esistenti omettono strutturalmente queste categorie o le trattano come rumore di fondo fuori ambito, lasciando un vuoto critico nell'analisi della sicurezza per le organizzazioni distribuite, cloud-first e decentralizzate.

2. Metodologia: TRACE

TRACE (Threat Modelling for Distributed, Cloud-First, and Decentralized Organisations) è una metodologia progettata per colmare questo divario. Tratta gli attori delle minacce, i ruoli, gli asset, gli invarianti critici e i bordi di fiducia/autorità come oggetti di modellazione primari collegati a prove (evidence-linked). Si estende esplicitamente su tre livelli: Protocolli, Sistemi e Organizzazioni.

2.1 Oggetti Modello Core

TRACE definisce cinque tipi di oggetti primitivi che costituiscono la base del modello:

1. Attori delle Minacce (Threat Actors): Entità con capacità, incentivo o autorità (attaccanti esterni, insider, vendor, utenti compromessi, avversari economici).
2. Ruoli (Roles): Posizioni privilegiate o operative (fondatori, firmatari, manutentori, deployer). I ruoli localizzano l'autorità.
3. Asset: Valore, controllo, dati, autorità o continuità che richiedono protezione (fondi, chiavi, controllo della produzione, potere di governance).
4. Invarianti Critici (Critical Invariants): Proprietà che devono rimanere vere (segregazione dei compiti, integrità dell'approvazione, solvibilità, autorità limitata, integrità del deployment). Gli invarianti fungono da ancoraggio semantico per la classificazione delle minacce.
5. Bordi (Edges): Punti in cui fiducia, valore, dati o controllo attraversano i domini (confini di fiducia, percorsi da CI/CD al deployment, collegamenti tra identity provider e cloud). I bordi sono l'unità di analisi zero-trust.

Distinzione Chiave: TRACE separa l'autorità (situata sui ruoli, esercitata attraverso i bordi) dall'autorizzazione (controllo dei permessi per singola azione).

2.2 Tre Pilastri di Applicazione

La metodologia viene applicata attraverso tre livelli distinti, ciascuno con input e accenti specifici:

• TRACE per i Protocolli: Si concentra sui sistemi di regole formali (smart contract, processi di governance). Input: specifiche, white paper e modelli economici. Output: mappe degli invarianti, analisi del rischio di governance e analisi della superficie di collusione/consenso.
• TRACE per i Sistemi: Si concentra su architettura e infrastruttura. Input: strutture IAM cloud, flussi CI/CD e infrastruttura-come-codice (IaC). Output: inventari dei confini di fiducia, mappe dei gap zero-trust e mappe del rischio della supply chain.
• TRACE per le Organizzazioni: Si concentra sulla sicurezza operativa e sui fattori umani. Input: interviste, revisioni degli accessi e piani di incident response. Output: modelli di minaccia operativi, registri dei rischi umani/processuali e roadmap di hardening.

2.3 Workflow Sequenziale a Fasi (Gated Workflow)

TRACE impiega un workflow sequenziale rigoroso con gate di approvazione umana per evitare che assunzioni deboli si accumulino:

1. Definizione dell'Ambito e Inventario delle Fonti: Definire i confini e raccogliere le prove.
2. Ingestione delle Fonti: Estrarre componenti, attori e flussi candidati.
3. Costruzione del Modello TRACE: Costruire i cinque set di oggetti, segnalando le assunzioni inferite.
4. Identificazione e Classificazione STRIDE: Applicare STRIDE al modello, classificando le minacce in base all'impatto su invarianti e asset.
5. Costruzione di Alberi di Attacco (Attack Trees): Decomporre le minacce con il ranking più alto in obiettivi e condizioni abilitanti.
6. Ispezione di Collusione e Coordinamento: Analizzare combinazioni di attori, assunzioni di quorum e percorsi di cattura della governance.
7. Produzione di Roadmap e Report: Generare un piano di mitigazione prioritario.

3. Contributi Principali

Il documento apporta tre contributi primari:

1. Confronto Strutturato: Un'indagine comparativa di nove framework di threat modelling ampiamente utilizzati su dieci dimensioni (ad es. prospettiva, classificazione del rischio, gestione della collusione, supply chain e fattori umani), dimostrando che nessun metodo esistente tratta simultaneamente invarianti, autorità distribuita e collusione come oggetti di prima classe.
2. Analisi dei Gap: Una caratterizzazione del motivo per cui i metodi esistenti falliscono in ambienti distribuiti, cloud-first e zero-trust, evidenziando specificamente la mancanza di modellazione per i fallimenti dei percorsi autorizzati, la collusione e i bordi del piano di controllo.
3. La Specifica TRACE: Una specifica completa della metodologia, inclusa il suo modello core, i tre pilastri di applicazione, il workflow sequenziale e una disciplina per il co-working uomo-IA.

4. Risultati e Claim

Il documento non presenta risultati sperimentali empirici (ad es. uno studio controllato che confronti TRACE con STRIDE), ma presenta una metodologia sviluppata attraverso la pratica professionale presso Oak Security nel settore Web3. Le affermazioni sulla sua efficacia si basano su tale pratica:

• Copertura: TRACE affronta i "punti ciechi strutturali" dei metodi stabiliti costringendo gli analisti a nominare e collegare invarianti, autorità distribuita e superfici di collusione alle prove.
• Co-working Uomo-IA: La metodologia è progettata per sfruttare i Large Language Models (LLM) per accelerare l'estrazione e la copertura, imponendo al contempo una disciplina in cui l'output dell'IA è trattato solo come "analisi candidata". I revisori senior mantengono il giudizio finale su invarianti, severità e credibilità della collusione.
• Tracciabilità: Ogni artefatto a valle (minacce, alberi di attacco, mitigazioni) deve collegarsi a un oggetto specifico del modello e alla prova della fonte. Le affermazioni senza tracciabilità vengono rimosse o contrassegnate come domande aperte.

5. Significatività e Limitazioni

Significatività:
TRACE fornisce un framework agnostico rispetto allo stack per organizzazioni che hanno superato il modello del perimetro. Compone strumenti esistenti (STRIDE per l'elicitazione, alberi di attacco per la profondità, Zero Trust per la valutazione dei bordi) anziché sostituirli, ma li ricolloca su primitivi adatti a fabric di controllo multi-parte. È particolarmente significativo per il Web3, dove asset ad alto valore, autorità distribuita e operazioni umane sono strettamente accoppiati, ma l'autore sostiene che il problema sia ormai comune a tutte le organizzazioni cloud-first e decentralizzate.

Limitazioni:

• Validazione: La metodologia è validata attraverso la pratica professionale piuttosto che tramite studi empirici controllati.
• Overhead: Il set di oggetti di prima classe aggiunge un carico di modellazione rispetto a un rapido passaggio STRIDE.
• Dipendenza dai Dati: La qualità del modello è limitata dalla qualità delle fonti disponibili; il meccanismo di "assunzione inferita" mitiga ma non elimina i gap informativi.
• Soggettività: La classificazione della severità, sebbene ancorata agli invarianti, dipende comunque dal giudizio esperto e potrebbe non essere completamente riproducibile tra diversi analisti.
• Bias dell'IA: Sebbene il workflow a fasi riduca il bias di automazione, non può escluderlo completamente ai gate di revisione.

Lavoro Futuro:
Gli autori identificano tre direzioni per lo sviluppo futuro: valutazione empirica (studi di accordo inter-analista), formalizzazione (schemi verificabili dalle macchine per invarianti e bordi) e un accoppiamento più stretto con la teoria del consenso responsabile per ragionare quantitativamente sulle soglie di collusione.