OWASP Security Shepherd

Das OWASP Security Shepherd Project ist eine Trainingsplattform für die Sicherheit von Web- und mobilen Anwendungen. Security Shepherd wurde entwickelt, um das Sicherheitsbewusstsein in einer vielfältigen Zielgruppe mit unterschiedlichen Fähigkeiten zu fördern und zu verbessern. Das Ziel dieses Projekts ist es, AppSec-Neulinge oder erfahrene Ingenieure zu nehmen und ihr Penetrationstest-Können bis zum Status eines Sicherheitsexperten zu schärfen.

Dokumentation

Die Dokumentation befindet sich unter https://owasp.github.io/SecurityShepherd/: wie man spielt, wie man Security Shepherd und ein Event betreibt und wie man beiträgt.

Schnellstart

Prüfe zuerst die Voraussetzungen. Baue und starte dann Security Shepherd:

git clone https://github.com/OWASP/SecurityShepherd.git
cd SecurityShepherd
# Build the WAR and generate the database scripts the images need
mvn -Pdocker clean package -DskipTests
# Build the images and start the containers
docker compose up -d --build

Öffnen Sie dann https://localhost und folgen Sie Getting started, um die Datenbank zu konfigurieren und sich anzumelden.

Dies ist ein Schnellstart für einen Laptop oder ein Schulungslabor, keine Produktionsbereitstellung: Es werden allgemein bekannte Standardpasswörter und ein selbstsigniertes Zertifikat verwendet. Bevor andere Personen es nutzen, folgen Sie Deploying into production. Um eine bestehende Installation auf 4.0 zu migrieren, siehe Upgrading.

Vorgefertigte Images werden auf Docker Hub als owasp/security-shepherd veröffentlicht. Verifying the images erläutert die Tags und wie man die SBOM und Provenienz eines Images überprüft.

Die virtuelle Maschine 3.1 und die manuellen Installationspakete befinden sich weiterhin auf der releases page, und das wiki beschreibt sie.

Wofür kann Security Shepherd verwendet werden?

Security Shepherd kann verwendet werden als;

• Lehrtool für alle Bereiche der Anwendungssicherheit
• Trainingsplattform für Penetrationstests von Webanwendungen
• Training für Penetrationstests mobiler Anwendungen
• Sichere Spielwiese zum Üben von AppSec-Techniken
• Plattform zur Demonstration realer Beispiele für Sicherheitsrisiken

Warum Security Shepherd wählen?

Es gibt viele absichtlich verwundbare Anwendungen im OWASP Project Inventory und noch mehr im gesamten Internet. Warum sollten Sie Security Shepherd verwenden? Hier sind einige Gründe;

• Breite Themenabdeckung Shepherd umfasst über sechzig Level aus dem gesamten Spektrum der Web- und Mobile-Anwendungssicherheit in einem einzigen Projekt.
• Sanfte Lernkurve Shepherd ist perfekt für Nutzer, die völlig neu in der Sicherheit sind, da die Level in einem angenehmen Tempo an Schwierigkeit zunehmen.
• Laienverständliche Erklärungen Wenn jedes Sicherheitskonzept in Shepherd erstmals vorgestellt wird, geschieht dies in einfachen Worten, sodass jeder (auch Anfänger) sie aufnehmen kann.
• Praxisnahe Beispiele Die Sicherheitsrisiken in Shepherd sind echte Schwachstellen, deren Exploit-Auswirkung abgeschwächt wurde, um die Anwendung, die Nutzer und die Umgebung zu schützen. Es gibt keine simulierten Sicherheitsrisiken, die einen erwarteten, spezifischen Angriffsvektor erfordern, um ein Level zu bestehen. Angriffsvektoren verhalten sich bei Shepherd so, wie sie es in der realen Welt tun würden.
• Skalierbarkeit Shepherd kann lokal von einem einzelnen Nutzer oder problemlos als Server für eine hohe Anzahl von Nutzern verwendet werden.
• Hohe Anpassbarkeit Shepherd ermöglicht es Administratoren festzulegen, welche Level ihren Nutzern zur Verfügung stehen und in welcher Form sie präsentiert werden (Open-, CTF- und Tournament-Layouts)
• Perfekt für den Unterricht Shepherd gibt seinen Spielern nutzerspezifische Lösungsschlüssel, um zu verhindern, dass Schüler Schlüssel weitergeben, anstatt die erforderlichen Schritte zum Abschließen eines Levels zu durchlaufen.
• Rangliste Security Shepherd verfügt über eine konfigurierbare Rangliste, um eine wettbewerbsorientierte Lernumgebung zu fördern. Nutzer, die Level als Erste, Zweite und Dritte abschließen, erhalten Medaillen in ihrem Ranglisteneintrag und Bonuspunkte, damit es auf der Rangliste unterhaltsam bleibt.
• Benutzerverwaltung Security Shepherd-Administratoren können mit den Admin-Benutzerverwaltungskontrollen Benutzer erstellen, Administratoren erstellen, sperren, entsperren, Bonuspunkte hinzufügen oder Strafpunkte von den Konten der Nutzer abziehen. Administratoren können ihre Schüler auch in bestimmte Klassengruppen einteilen. Administratoren können den Fortschritt einer Klasse einsehen, um Teilnehmer zu identifizieren, die Schwierigkeiten haben. Ein Administrator kann sogar die öffentliche Registrierung schließen und Benutzer manuell erstellen, wenn er eine private Erfahrung wünscht.
• Robuster Dienst Shepherd wurde verwendet, um Online-CTFs wie das OWASP Global CTF und das OWASP LATAM Tour CTF 2015 zu betreiben, die beide über 200 aktive Nutzer übertrafen und ohne Ausfallzeiten liefen, abgesehen von geplanten Wartungszeiträumen.
• Konfigurierbares Feedback Ein Administrator kann einen Feedback-Prozess aktivieren, der von den Nutzern abgeschlossen werden muss, bevor ein Level als abgeschlossen markiert wird. Dies dient sowohl dazu, Projektverbesserungen auf Basis des eingereichten Feedbacks zu ermöglichen, als auch dazu, dass Systemadministratoren „Reports of Understanding" von ihren Schülern sammeln.
• Granulares Logging Die von Security Shepherd gemeldeten Logs sind sehr detailliert und aussagekräftig, aber nicht überwältigend. Wenn ein Nutzer sich danebenbenimmt, werden Sie es wissen.