owasp/cumulusCumulus. Modélisation des menaces dans les clouds.
Cumulus est le moyen simple d'intégrer la sécurité dans les équipes cloud et devOps.
En tant que variante du jeu de cartes Elevation of Privilege, il suit l'idée de modéliser les menaces d'un système par la gamification. Cette approche légère et à faible barrière d'entrée vous aide à trouver les menaces pesant sur votre projet devOps ou cloud et enseigne aux développeurs un état d'esprit orienté sécurité.
Trouvez la dernière version ici.
L'idée de modéliser les menaces par des jeux sérieux remonte au jeu de cartes Elevation of Privilege d'Adam Shostack. L'idée de base est de réunir les développeurs autour d'une table et de les amener à discuter de la sécurité de leur système. Pour cela, un jeu de cartes sert de guide à travers un catalogue de menaces. Il est conçu pour être à faible barrière d'entrée et naturellement intégrable dans les processus de développement agiles.
Alors que le jeu original aborde la sécurité en général et qu'une autre variante, Cornucopia de l'OWASP Foundation, cible plus particulièrement la sécurité des applications (web), nous avons eu le sentiment que les besoins spécifiques des équipes devOps travaillant dans des environnements cloud manquaient. Cumulus cherche à combler cette lacune et propose un jeu de cartes personnalisé avec des menaces pour les systèmes cloud.
Les menaces sont classées dans les catégories suivantes (qui sont aussi les couleurs de ce jeu) :
Ce jeu ne cherche explicitement pas à remplacer Elevation of Privilege ou Cornucopia. Il doit plutôt être considéré comme un élément d'un trio de jeux de cartes de modélisation des menaces, reflétant différents aspects des projets modernes de développement logiciel.
Cumulus est un jeu de plis, similaire au pique.
L'objectif est de collecter le plus de points possible, soit en remportant un pli, soit en trouvant des menaces. À la fin du jeu, le gagnant est le joueur avec le plus de points.
En préparation du jeu, un aperçu architectural est généré. Idéalement, cela prend la forme d'un diagramme de flux de données, mais en fin de compte, tout aperçu compris par les joueurs convient. De plus, les joueurs se mettent d'accord sur une couleur de départ, c.-à-d. une catégorie de menaces.
Après avoir distribué les cartes entre les joueurs, le jeu commence. Le premier donneur est le joueur qui détient la carte la plus basse de la couleur de départ. Le donneur joue une carte de la couleur de départ. Chaque autre joueur doit fournir à la couleur pendant ce tour. Si cela n'est pas possible, le joueur peut choisir n'importe quelle carte en main. Le gagnant du tour remporte le pli et est celui qui a joué la carte de plus forte valeur dans la couleur du tour ou la carte d'atout la plus forte.
Les atouts sont les cartes de la couleur Accès & Secrets.
Le gagnant reçoit alors un point, commence un nouveau tour et choisit la nouvelle couleur. Chaque fois qu'une nouvelle carte est jouée, tous les joueurs sont invités à se demander si cette menace particulière, mentionnée sur la carte actuelle, s'applique d'une certaine manière à leur système. Si une menace est trouvée (et que l'équipe convient que c'est un sujet à examiner), elle est notée et celui qui l'a trouvée reçoit un point supplémentaire.
L'idée originale et merveilleuse de mener une modélisation des menaces par des jeux sérieux revient à Adam Shostack, qui travaillait chez Microsoft à l'époque. Il a inventé le jeu Elevation of Privilege, qui est le modèle de Cumulus.
Un autre grand jeu suivant l'approche de modélisation des menaces d'Elevation of Privilege est Cornucopia, développé par l'OWASP Foundation.
Ces deux jeux de cartes sont d'excellents outils pour aider les équipes de développement à renforcer la sécurité du système qu'elles construisent.
Cependant, nous avons ressenti le besoin d'un jeu de cartes de modélisation des menaces ciblant en particulier les projets devOps/cloud. C'est de cette idée qu'est né Cumulus.
Il existe une version en ligne de ce jeu de cartes (ainsi que d'Elevation of Privilege et de Cornucopia) pour les équipes distantes ou géographiquement dispersées. Elle peut facilement être auto-hébergée.
Vous pouvez la trouver à l'adresse :
https://github.com/tng/elevation-of-privilege
Alternativement, Cumulus peut être joué sur copi.owasp.org, voir les notes de version. Merci à Johan Sydseter.
Les contributions au jeu de cartes sont très appréciées. En fin de compte, ce jeu de cartes est destiné à être un projet communautaire.
Les modifications des formulations de menaces sont les bienvenues sous forme de pull requests vers cards.tex.
Le jeu de cartes suit le versionnement sémantique. Les changements de version signifient :
Le jeu de cartes (y compris les formulations des menaces et les fichiers PDF publiés) est distribué sous CC-BY-4.0. Lors de la distribution de ce jeu, la mention de TNG Technology Consulting est très appréciée.
Tous les fichiers utilitaires (scripts shell, code LaTeX pour la mise en page) sont distribués sous Apache-2.0.
