threatmap — نموذج تهديدات للبنية التحتية كرمز (IaC) باستخدام أطر STRIDE و MITRE ATT&CK و PASTA. يدعم REST API و GraphQL و Docker لتطبيقات Terraform و CloudFormation و Kubernetes. | Kitploit

docker run -p 8000:8000 bogdynn/threatmap:2.1.0
# نقطة نهاية GraphQL: http://localhost:8000/graphql
# استعلامات: health, version, rules
# تحويرات: analyze(content, filename, framework)

# STRIDE (افتراضي)
threatmap scan ./infra/ --framework stride

# MITRE ATT&CK (يرسم إلى تكتيكات وتقنيات)
threatmap scan ./infra/ --framework mitre --format json

# PASTA (نمذجة تهديدات متمحورة حول الأصول)
threatmap scan ./infra/ --framework pasta --format json

المعرف	الشدة	فئة STRIDE	المورد	الوصف
T-001	🔴 حرج	Information Disclosure	`AuditBucket`	دلو S3 'AuditBucket' ليس لديه حظر وصول عام مهيأ — قد يكون الدلو متاحًا للعامة.
T-002	🔴 حرج	Spoofing	`WebSecurityGroup`	مجموعة الأمان 'WebSecurityGroup' تعرض SSH/RDP (المنفذ 22/3389) إلى 0.0.0.0/0.
T-003	🔴 حرج	Elevation of Privilege	`app_contributor`	تعيين الدور 'app_contributor' يمنح الدور المميز 'Contributor'.
T-006	🟠 عالٍ	Information Disclosure	`AuditBucket`	دلو S3 'AuditBucket' ليس لديه تشفير من جانب الخادم مهيأ.
T-008	🟠 عالٍ	Elevation of Privilege	`api`	الحاوية 'api' في Deployment 'api' قد تعمل كجذر (لا يوجد runAsNonRoot=true أو runAsUser=0).
T-011	🟠 عالٍ	Elevation of Privilege	`web`	مثيل EC2 'web' يسمح بـ IMDSv1 — خدمة البيانات الوصفية متاحة بدون رموز جلسة، مما يتيح سرقة بيانات الاعتماد عبر SSRF.

### T-002 — Spoofing (حرج)

المورد:   AWS::EC2::SecurityGroup.WebSecurityGroup
الخاصية:   ingress.ssh_rdp_open
النتيجة:    مجموعة الأمان 'WebSecurityGroup' تعرض SSH/RDP (المنفذ 22/3389) إلى 0.0.0.0/0.
التخفيف: إزالة الوصول العام لـ SSH/RDP. استخدم AWS Systems Manager Session Manager
            أو مضيف وسيط مع قيود IP.

flowchart LR
    Internet((Internet))
    subgraph Networking
        aws_security_group_web_sg{web_sg}
        NetworkPolicy_default_deny{default-deny}
        azurerm_network_security_group_app_nsg{app_nsg}
    end
    subgraph Compute
        aws_instance_web[web]
    end
    subgraph Kubernetes
        Namespace_myapp[myapp]
        Deployment_api[api]
        Service_api_svc[api-svc]
        Ingress_api_ingress[api-ingress]
    end
    subgraph Data
        aws_s3_bucket_app_data[(app_data)]
        aws_db_instance_app_db[(app_db)]
        azurerm_storage_account_app_storage[(app_storage)]
    end
    subgraph Security
        azurerm_key_vault_app_kv[app_kv]
    end
    subgraph Identity
        azurerm_role_assignment_app_contributor[/app_contributor/]
    end
    AWS__S3__Bucket_AppBucket -->|ref| AWS__S3__Bucket_AuditBucket
    AWS__CloudTrail__Trail_AppTrail -->|ref| AWS__S3__Bucket_AuditBucket
    Internet -->|HTTPS| Ingress_api_ingress
    style aws_security_group_web_sg fill:#ff4444,color:#fff
    style aws_s3_bucket_app_data fill:#ff4444,color:#fff
    style aws_instance_web fill:#ff8800,color:#fff
    style Deployment_api fill:#ff8800,color:#fff
    style azurerm_key_vault_app_kv fill:#ffcc00,color:#000
    style azurerm_network_security_group_app_nsg fill:#ff8800,color:#fff
    style azurerm_role_assignment_app_contributor fill:#ff4444,color:#fff

rules:
  - resource_type: "aws_s3_bucket"
    property: "force_destroy"
    expected: false
    stride: "Tampering"
    severity: "MEDIUM"
    description: "لا ينبغي تمكين force_destroy في دلّاء الإنتاج."
    mitigation: "اضبط force_destroy = false."

threatmap/analyzers/
├── aws.py         # 22 قاعدة — S3, IAM, EC2, RDS, EKS, CloudTrail, KMS, Lambda
├── azure.py       # 19 قاعدة — Storage, Key Vault, NSG, RBAC, AKS, ACR, SQL
├── gcp.py         # 15 قاعدة — GCS, Firewall, Compute, Cloud SQL, GKE, IAM, KMS
└── kubernetes.py  # 17 قاعدة — workloads, RBAC, network, secrets

الشدة	المعنى
حرج (CRITICAL)	قابل للاستغلال مباشرة دون شروط مسبقة إضافية (مثل SSH مفتوح إلى 0.0.0.0/0، سياسة IAM بطاقة بدل، ربط cluster-admin بمجهول)
عالٍ (HIGH)	خطر كبير يتطلب خطوة إضافية واحدة (مثل RDS غير مشفر مع وصول عام، IMDSv1 على مثيل EC2)
متوسط (MEDIUM)	ضوابط دفاع متعمقة مفقودة — خطر فوري أقل لكنه ينتهك المعايير الأمنية الأساسية (مثل عدم وجود إصدارات، عدم تسجيل، عدم وجود حدود موارد)
منخفض (LOW)	فجوات في أفضل الممارسات مع قابلية استغلال محدودة بمفردها (مثل Lambda غير موجودة في VPC)

# .github/workflows/threat-model.yml
name: نموذج تهديد

on: [pull_request]

jobs:
  threatmap:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: إعداد Python
        uses: actions/setup-python@v5
        with:
          python-version: "3.11"

      - name: تثبيت threatmap
        run: pip install threatmap

      - name: تشغيل مسح نموذج التهديد
        run: |
          threatmap scan ./infra/ \
            --format markdown \
            --output threat-report.md \
            --fail-on HIGH

      - name: رفع تقرير التهديد
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: threat-report
          path: threat-report.md

الصيغة	الموفّر	الامتداد
Terraform HCL	AWS, Azure, GCP	`.tf`
CloudFormation	AWS	`.yaml`, `.yml`, `.json`
Kubernetes manifests	Kubernetes	`.yaml`, `.yml`

الموفّر	القواعد
AWS (Terraform + CloudFormation)	22
Azure (Terraform)	19
GCP (Terraform)	15
Kubernetes	17
الاجمالي	73

الموفّر	S	T	R	I	D	E
AWS	✓	✓	✓	✓	✓	✓
Azure	✓	✓	✓	✓	—	✓
GCP	✓	✓	✓	✓	—	✓
Kubernetes	✓	✓	—	✓	✓	✓

threatmap

الأكثر شعبية

بداية سريعة

الصيغ والموفّرون المدعومون

التثبيت

الاستخدام

أطر نمذجة التهديدات

نموذج مخرجات التقرير

جدول تهديدات STRIDE

تفاصيل التخفيف (مقتطف)

مخطط تدفق البيانات (Mermaid)

ميزات متقدمة (v2.1.0+)

تحليل مسار الهجوم القائم على الرسم البياني

قواعد YAML مخصصة

تلميحات المعالجة

العمارة

كيف تُعيّن درجات الشدة

كيف تُتجنب النتائج الإيجابية الخاطئة

تكامل CI

تغطية قواعد STRIDE

التطوير

المساهمة