OWASP Security Shepherd

El OWASP Security Shepherd Project es una plataforma de formación en seguridad de aplicaciones web y móviles. Security Shepherd ha sido diseñado para fomentar y mejorar la concienciación en seguridad entre una demografía con un conjunto de habilidades variado. El objetivo de este proyecto es tomar a principiantes en AppSec o a ingenieros experimentados y perfeccionar su conjunto de habilidades de pruebas de penetración hasta el estatus de experto en seguridad.

Documentación

La documentación está en https://owasp.github.io/SecurityShepherd/: cómo jugar, cómo ejecutar Security Shepherd y un evento, y cómo contribuir.

Inicio rápido

Consulta primero los requisitos previos. Después, compila e inicia Security Shepherd:

git clone https://github.com/OWASP/SecurityShepherd.git
cd SecurityShepherd
# Build the WAR and generate the database scripts the images need
mvn -Pdocker clean package -DskipTests
# Build the images and start the containers
docker compose up -d --build

A continuación, abra https://localhost y siga Getting started para configurar la base de datos e iniciar sesión.

Esta es una guía de inicio rápido para un portátil o un laboratorio de aula, no un despliegue en producción: utiliza contraseñas predeterminadas ampliamente conocidas y un certificado autofirmado. Antes de que otras personas lo utilicen, siga Deploying into production. Para migrar una instalación existente a la 4.0, consulte Upgrading.

Las imágenes precompiladas se publican en Docker Hub como owasp/security-shepherd. Verifying the images explica las etiquetas y cómo comprobar el SBOM y la procedencia de una imagen.

La máquina virtual 3.1 y los paquetes de instalación manual siguen disponibles en la página de releases, y la wiki los describe.

¿Para qué se puede utilizar Security Shepherd?

Security Shepherd se puede utilizar como;

• Herramienta de enseñanza para toda la seguridad de aplicaciones
• Plataforma de formación en pruebas de penetración de aplicaciones web
• Formación en pruebas de penetración de aplicaciones móviles
• Entorno de pruebas seguro para practicar técnicas de AppSec
• Plataforma para demostrar ejemplos de riesgos de seguridad reales

¿Por qué elegir Security Shepherd?

Hay muchas aplicaciones deliberadamente vulnerables disponibles en el Inventario de Proyectos de OWASP, e incluso más en todo internet. ¿Por qué deberías usar Security Shepherd? Aquí tienes algunas razones;

• Amplia cobertura temática
  Shepherd incluye más de sesenta niveles que abarcan todo el espectro de la seguridad de aplicaciones Web y Móviles dentro de un único proyecto.
• Curva de aprendizaje suave
  Shepherd es perfecto para usuarios completamente nuevos en seguridad, con niveles que aumentan de dificultad a un ritmo agradable.
• Explicaciones para legos
  Cuando cada concepto de seguridad se presenta por primera vez en Shepherd, se hace en términos sencillos para que cualquiera (incluso principiantes) pueda absorberlos.
• Ejemplos del mundo real
  Los riesgos de seguridad en Shepherd son vulnerabilidades reales cuyo impacto de explotación se ha atenuado para proteger la aplicación, los usuarios y el entorno. No hay riesgos de seguridad simulados que requieran un vector de ataque específico esperado para superar un nivel. Los vectores de ataque, cuando se usan en Shepherd, se comportan como lo harían en el mundo real.
• Escalabilidad
  Shepherd puede usarse localmente por un único usuario o fácilmente como servidor para una gran cantidad de usuarios.
• Altamente personalizable
  Shepherd permite a los administradores establecer qué niveles están disponibles para sus usuarios y de qué manera se presentan (diseños Abierto, CTF y Torneo)
• Perfecto para aulas
  Shepherd proporciona a sus jugadores claves de solución específicas por usuario para evitar que los estudiantes compartan claves en lugar de seguir los pasos necesarios para completar un nivel.
• Marcador
  Security Shepherd tiene un marcador configurable para fomentar un entorno de aprendizaje competitivo. Los usuarios que completan los niveles en primer, segundo y tercer lugar reciben medallas en su entrada del marcador y puntos de bonificación para mantener las cosas entretenidas en el marcador.
• Gestión de usuarios
  Los administradores de Security Shepherd pueden crear usuarios, crear administradores, suspender, reactivar, añadir puntos de bonificación o quitar puntos de penalización de las cuentas de los usuarios con los controles de gestión de usuarios del administrador. Los administradores también pueden segmentar a sus estudiantes en grupos de clase específicos. Los administradores pueden ver el progreso que ha hecho una clase para identificar a los participantes con dificultades. Un administrador puede incluso cerrar el registro público y crear usuarios manualmente si desea una experiencia privada.
• Servicio robusto
  Shepherd se ha utilizado para ejecutar CTFs en línea como el OWASP Global CTF y el OWASP LATAM Tour CTF 2015, ambos superando los 200 usuarios activos y funcionando sin tiempo de inactividad, salvo por periodos de mantenimiento planificados.
• Comentarios configurables
  Un administrador puede habilitar un proceso de comentarios, que los usuarios deben completar antes de que un nivel se marque como completado. Esto se usa tanto para facilitar mejoras del proyecto basadas en los comentarios enviados como para que los administradores del sistema recopilen "Informes de Comprensión" de sus estudiantes.
• Registro granular
  Los registros informados por Security Shepherd son altamente detallados y descriptivos, pero no cegadores. Si un usuario se está comportando mal, lo sabrás.