owasp/cumulusCumulus. Modélisation des menaces dans les clouds.
Cumulus est le moyen simple d'intégrer la sécurité dans les équipes cloud et devOps.
En tant que variante du jeu de cartes Elevation of Privilege, il reprend l'idée de modéliser les menaces d'un système par la ludification. Cette approche légère et à faible barrière vous aide à identifier les menaces pesant sur votre projet devOps ou cloud et enseigne aux développeurs un état d'esprit orienté sécurité.
Trouvez la dernière version ici.
L'idée de la modélisation des menaces par le biais de jeux sérieux remonte au jeu de cartes Elevation of Privilege d'Adam Shostack. L'idée de base est de réunir les développeurs autour d'une table et de les amener à discuter de la sécurité de leur système. Pour cela, un jeu de cartes sert de guide à travers un catalogue de menaces. Il est conçu pour être à faible barrière et naturellement intégrable dans les processus de développement agile.
Alors que le jeu original aborde la sécurité en général et qu'une autre variante, Cornucopia de la OWASP Foundation, cible particulièrement la sécurité des applications (web), nous avions le sentiment que les besoins spécifiques des équipes devOps travaillant dans des environnements cloud manquaient. Cumulus cherche à combler ce vide et fournit un jeu de cartes personnalisé avec des menaces pour les systèmes cloud.
Les menaces sont classées dans les catégories suivantes (qui sont aussi les couleurs dans ce jeu) :
Ce jeu ne cherche explicitement pas à remplacer Elevation of Privilege ou Cornucopia. Il devrait plutôt être considéré comme faisant partie d'un trio de jeux de cartes de modélisation des menaces, reflétant différents aspects des projets de développement logiciel modernes.
Cumulus est un jeu de cartes à levées, similaire au bridge.
L'objectif est de collecter autant de points que possible, soit en remportant une levée, soit en trouvant des menaces. À la fin de la partie, le gagnant est le joueur ayant le plus de points.
En préparation de la partie, un aperçu architectural est généré. Idéalement, sous la forme d'un diagramme de flux de données, mais en fin de compte, tout aperçu compris par les joueurs convient. De plus, les joueurs s'accordent sur une couleur de départ, c'est-à-dire une catégorie de menaces.
Après avoir distribué les cartes entre les joueurs, la partie commence. Le premier donneur est le joueur détenant la carte la plus basse dans la couleur de départ. Le donneur joue une carte dans la couleur de départ. Chaque autre joueur doit suivre la couleur pendant ce tour. Si cela n'est pas possible, le joueur peut choisir n'importe quelle carte en main. Le gagnant du tour remporte la levée et est celui qui a joué la carte de plus grande valeur dans la couleur du tour ou la carte d'atout la plus élevée.
Les atouts sont les cartes de la couleur Access & Secrets.
Le gagnant reçoit alors un point, entame un nouveau tour et choisit la nouvelle couleur. Chaque fois qu'une nouvelle carte est jouée, tous les joueurs sont invités à réfléchir si cette menace particulière, mentionnée sur la carte actuelle, s'applique à leur système sous une forme ou une autre. Si une menace est trouvée (et que l'équipe convient qu'il s'agit d'un sujet à examiner), elle est notée et celui qui l'a trouvée reçoit un point supplémentaire.
L'idée originale et merveilleuse de mener une modélisation des menaces par le biais de jeux sérieux remonte à Adam Shostack, travaillant pour Microsoft à l'époque. Il a inventé le jeu Elevation of Privilege qui est le modèle de Cumulus.
Un autre excellent jeu suivant l'approche d'Elevation of Privilege pour la modélisation des menaces est Cornucopia développé par la OWASP Foundation.
Les deux jeux de cartes sont d'excellents outils pour aider les équipes de développement à accroître la sécurité du système qu'elles construisent.
Cependant, nous ressentions le besoin d'un jeu de cartes de modélisation des menaces ciblant particulièrement les projets devOps/cloud. C'est de cette idée qu'est né Cumulus.
Il existe une version en ligne de ce jeu de cartes (ainsi que d'Elevation of Privilege et de Cornucopia) pour les équipes distantes ou géographiquement dispersées. Elle peut facilement être auto-hébergée.
Vous pouvez la trouver à l'adresse :
https://github.com/tng/elevation-of-privilege
Alternativement, Cumulus peut être joué sur copi.owasp.org, voir les notes de version. Merci à Johan Sydseter.
Des cartes imprimées sont disponibles chez CyberSecGames.
Les contributions au jeu de cartes sont très appréciées. En fin de compte, ce jeu de cartes est destiné à être un projet communautaire.
Les modifications des formulations des menaces sont les bienvenues sous forme de pull requests vers cards.tex.
Le jeu de cartes suit le versionnage sémantique. Les changements de version signifient :
Le jeu de cartes (y compris les formulations des menaces et les fichiers PDF publiés) est distribué sous CC-BY-4.0. Lors de la distribution de ce jeu, mentionner TNG Technology Consulting est grandement apprécié.
Tous les fichiers utils (scripts shell, code LaTeX pour la mise en page) sont distribués sous Apache-2.0.
