Na modelagem de ameaças a etapa de identificação de ameaças usa o diagrama de fluxos de dados como insumo para o brainstorm de levantamento de ameaças. Assinale a alternativa que representa os elementos a serem levantados durante esse brainstorm.

Alternativa B - Agentes, vetores e ações de ameaças

Análise da Questão

Esta questão aborda o processo de Modelagem de Ameaças (Threat Modeling), uma técnica fundamental para segurança da informação utilizada para identificar vulnerabilidades antes que sejam exploradas.

Quando utilizamos um Diagrama de Fluxo de Dados (DFD) como base, o objetivo é mapear onde os dados entram, saem, são processados ou armazenados, e então analisar quais riscos existem nesses pontos. Durante a sessão de brainstorming (tempestade de ideias) para levantar ameaças, os analistas devem estruturar cada cenário de ataque identificando três pilares principais:

1. Agente (Quem?): Refere-se à fonte da ameaça. Pode ser um hacker externo, um funcionário mal-intencionado, um software malicioso ou até mesmo um erro humano. O termo "Agente" é mais técnico e abrangente do que apenas "Invasor".
2. Vetor (Como?): É o método ou caminho utilizado pela ameaça para atingir o alvo. Exemplos incluem rede não segura, acesso físico ao local, engenharia social ou exploração de falhas no código.
3. Ações de Ameaças (O que?): Descreve a natureza específica do dano ou comportamento malicioso. Exemplos: interceptação de dados, modificação não autorizada, negação de serviço ou exclusão de registros.

Por que as outras alternativas estão incorretas?

• Opção A (Nome das ameaças): Embora seja importante nomear a ameaça (ex: "SQL Injection"), o elemento central na análise detalhada é a ação que ela executa sobre o sistema. Apenas o nome pode ser vago sem descrever o impacto real no fluxo de dados.
• Opções C, D e E (Invasores): O termo "Invasor" é restritivo e menos formal do que "Agente". Nem toda ameaça vem de um invasor ativo; pode vir de falhas ambientais ou acidentes. Além disso, a combinação de termos nessas opções não segue a estrutura padrão de identificação de cenários de risco (Fonte + Meio + Efeito).

Conclusão

A alternativa correta é a B, pois representa a tríade completa necessária para documentar um evento de ameaça de forma técnica: quem faz (Agente), como chega (Vetor) e o que faz (Ação).