Proyecto OWASP Threat Model Cookbook

Este proyecto consiste en crear y publicar ejemplos de modelos de amenazas. Pueden ser representaciones en forma de código, gráficas o textuales. Los modelos utilizarán diversas tecnologías, metodologías y técnicas.

Puedes aprender de estos modelos, usarlos como base para comenzar los tuyos propios, o contribuir y ampliar algunos de ellos. De este modo, se convierte en un libro de recetas colaborativo de modelos de amenazas.

https://owasp.org/www-project-threat-model-cookbook/

https://twitter.com/OWASP_tmcb

Aviso legal

Los ejemplos proporcionados en este repositorio no son representaciones de sistemas seguros, sino sistemas inseguros que son fáciles de modelar. La mayoría son sistemas inventados que no existen en la realidad. Cualquier parecido con sistemas de la vida real es puramente coincidencia.

Contribuciones

Aceptamos con gusto PRs que contengan ejemplos para añadir al libro de recetas. Si quieres añadir nuevos modelos de amenazas, crear más versiones basadas en los borradores existentes, no dudes en enviar directamente una PR.

Estas son algunas pautas sobre cómo funciona nuestra estructura de archivos:

• INDEX.md contiene todos los sistemas que se modelan con imágenes incrustadas y descripciones breves.
• Los directorios de nivel superior son el tipo de modelos de amenazas. Ejemplo: Flow Diagram.
• Si tu modelo de amenazas tiene 1 o 2 archivos, puedes ponerlos directamente en ese directorio. Si tiene más, crea una carpeta con el nombre del sistema a modelar.
• El nombre del sistema debe usar únicamente guiones y caracteres alfanuméricos. Sin espacios.
• Un archivo necesita tener una extensión específica dependiendo del formato: system-name.tool y system-name.tool.exportfiletype. Como ejemplos, tenemos el archivo de código cryptowallet.plantuml y la salida a un archivo de imagen generado a partir de ese código como cryptowallet.plantuml.svg. Consulta el README.md en cada carpeta de nivel superior para ver una lista de herramientas y sus correspondientes extensiones de archivo.
• Si tienes múltiples representaciones del mismo sistema usando la misma herramienta, te sugerimos añadir altN- al inicio del archivo, donde N es un número.

Si esto suena complicado y solo quieres contribuir, aun así puedes enviar una PR y la refactorizaremos por ti. Es posible que en el futuro tengamos más automatización y referencias externas, por lo que queremos mantener una estructura de archivos estricta.

Si te gustaría discutir sobre la estructura del proyecto, no dudes en unirte a la discusión en OWASP Slack.

Licencias

Todos los modelos en forma de representaciones textuales o gráficas están bajo CC-BY 4.0

Todos los modelos como código están bajo Apache License 2.0