Um jeito de não esquecer nenhum tipo de ameaça. Para cada elemento do diagrama, pergunte:
| Letra | Ameaça | Pergunta | Contramedida |
|---|---|---|---|
| S | Spoofing (falsificar identidade) | alguém se passa por outro? | autenticação, MFA |
| T | Tampering (adulterar) | alguém altera dados/mensagens? | integridade, assinatura, validação |
| R | Repudiation (negar autoria) | alguém nega o que fez? | logs, auditoria |
| I | Information disclosure (vazar) | dado vaza para quem não devia? | criptografia, autorização, RLS |
| D | Denial of service (derrubar) | dá para tirar do ar? | rate limit, redundância |
| E | Elevation of privilege (escalar) | usuário vira admin? | menor privilégio, authz |