[][build] [][latest] [][practices]

OWASP Threat Dragon

[OWASP][owasp] [Threat Dragon][project] ist eine kostenlose, quelloffene, plattformübergreifende Anwendung für Bedrohungsmodellierung. Sie wird verwendet, um Bedrohungsmodellierungsdiagramme zu zeichnen und Bedrohungen für Elemente im Diagramm aufzulisten. Mike Goodwin hat Threat Dragon als Open-Source-Gemeinschaftsprojekt ins Leben gerufen, das eine intuitive und zugängliche Möglichkeit zur Modellierung von Bedrohungen bietet.

Threat Dragon ist darauf ausgelegt, für verschiedene Arten von Teams zugänglich zu sein, mit Schwerpunkt auf Flexibilität und Einfachheit. Das Projekt hat den [OWASP-Produktionsstatus][project] und folgt den Werten und Prinzipien des [Threat Modeling Manifesto][manifesto].

Dieses Programm ist freie Software: Sie können es unter den Bedingungen der [Apache 2.0 Lizenz][license] weitergeben und/oder verändern.

Threat Dragon ausprobieren

Rufen Sie die neueste Version von Threat Dragon auf [der Demo-Website][demo] auf und lesen Sie die [Dokumentationsseiten][docs].

Sehr empfehlenswert ist auch das Video aus der OWASP Spotlight-Reihe.

Der [GitHub-Release-Bereich][releases] enthält Threat Dragon von Version 1.3 bis zu den neuesten Versionen 2.x. Frühere Releases stammen aus Mike Goodwins ursprünglichem Repository.

Über Threat Dragon

Es gibt einen guten Überblick über Threat Modeling und Risikobewertung von OWASP, der erläutert, worauf das Threat-Dragon-Projekt abzielt:

• benutzerfreundlich und zugänglich
• Entwerfen eines Datenflussdiagramms
• Vorschlagen von Bedrohungen
• Eingeben von Gegenmaßnahmen und Abhilfemaßnahmen

Mike Goodwin ist der Gründer und Schöpfer dieses Projekts, und dieses Repository wurde aus Mike Goodwins ursprünglichem Repository migriert, das die Issues und Pull Requests von Oktober 2015 bis Juni 2020 enthält.

Threat Dragon ist in erster Linie eine Webanwendung. Die Webanwendung kann Bedrohungsmodelldateien im lokalen Dateisystem speichern; zusätzlich kann der Zugriff konfiguriert werden für:

• GitHub
• Bitbucket
• GitLab
• Github Enterprise

Die Desktop-Versionen von Threat Dragon speichern die Bedrohungsmodelldateien im lokalen Dateisystem und greifen nicht auf externe Repositories zu. Sie können Installationsprogramme für Windows, MacOS und Linux herunterladen.

Hilfe für Endbenutzer ist sowohl für die neueste [Version 2.x][docs] als auch für die vorherige Version 1.x verfügbar.

Wartungsmodus für Version 1.x

Threat Dragon wurde ursprünglich mit AngularJS Version 1.x geschrieben, aber diese Version von Angular hat das Ende ihrer Lebensdauer erreicht. Das bedeutet, dass die Versionen 1.x von Threat Dragon nicht mehr aktiv gepflegt werden und die Versionen 2.x neu geschrieben wurden, um Vue.js zu verwenden.

Weitere Informationen zum Erstellen/Ausführen von Version 1.x finden Sie im legacy-v1.x-Branch.

Version 2.x erstellen

Installiere git und [node.js][node], das den Node-Paketmanager npm enthält

Klone das Repository mit: git clone https://github.com/owasp/threat-dragon.git

Dadurch wird der Code in ein Verzeichnis threat-dragon heruntergeladen, und der Anwendungscode befindet sich in zwei Unterordnern, einer für die Back-End-Anwendung (td.server) und einer für das Front-End (td.vue).

Installiere aus dem obersten Verzeichnis des Projekts mit: npm install

Umgebungsvariablen für die Webanwendung

Die Webanwendungsvariante von Threat Dragon erfordert einige Umgebungsvariablen; folge [der Dokumentation][config], um zu erfahren, wie diese Variablen gesetzt werden.

Wenn Zugriff auf externe Repositories erforderlich ist, wie Bitbucket / GitHub / GitLab, dann musst du zu deinem Repository-Konto gehen und die Anwendung registrieren. Es gibt Schritt-für-Schritt-Anleitungen, wie dies für [Bitbucket][bitbucket], [GitHub][github] und [GitLab][gitlab] gemacht wird.

Die Anwendung ausführen

Beim Ausführen unter Windows und während der Entwicklung können das Front-End und das Server-Back-End separat im "Watch"-Modus mit den Befehlen gestartet werden: npm run dev:server und npm run dev:vue. Alternativ, wenn unter Linux oder MacOS ausgeführt, starte sowohl den Back-End-Server als auch die Front-End-Anwendung aus dem obersten Verzeichnis mit: npm start.

Wenn sowohl Front-End als auch Back-End laufen, greife mit einem Browser unter http://localhost:8080/ darauf zu

Die Anwendung stoppen

Wenn du npm start verwendest, stoppe sowohl den Back-End-Server als auch die Front-End-Anwendung aus dem obersten Verzeichnis mit dem Befehl npm stop. Andernfalls brich sowohl den Server als auch das Vue-Front-End ab.

Docker (von dockerhub)

Threat Dragon pflegt Docker-Images im Bereich der OWASP-Organisation auf Dockerhub. Jede Version ist als v{major}.{minor}.{patch} gekennzeichnet, z. B. v2.2.0:

• docker pull owasp/threat-dragon:v2.2.0

Das Latest-Tag (welches das Standard-Tag ist) kann durchaus eine Entwicklungsversion sein, verwende daher das stable-Tag, welches immer die neueste offizielle Version ist:

• docker pull threatdragon/owasp-threat-dragon:stable
• Für MacOS und Linux:
• docker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0
• Für Windows:
• docker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0

Angenommen, du verwendest den HTTP-Port 8080 und greifst auf Threat Dragon unter http://localhost:8080/ zu.

Docker (lokaler Build)

Um Threat Dragon in einem Docker-Container auszuführen, der lokal gebaut wurde, konfiguriere zuerst deine [Umgebung mit dotenv][config] und führe aus dem obersten Verzeichnis des Projekts aus:

• docker build -t owasp-threat-dragon:dev .
• docker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env owasp-threat-dragon:dev
• oder bei Verwendung von Windows:
• docker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env owasp-threat-dragon:dev

Verwende den HTTP-Port 8080 und greife auf Threat Dragon unter http://localhost:8080/ zu.

Mitwirken

[][contributors]

Pull Requests, Feature-Anfragen, Fehlerberichte und Feedback jeder Art sind sehr willkommen, bitte beachte die Seite für Mitwirkende.