Framework OdTM (Ontology-driven Threat Modelling) de l'OWASP

Le framework OdTM (Ontology-driven Threat Modelling) est un ensemble de moyens pour mettre en œuvre une approche ontologique dans la modélisation automatique des menaces des systèmes informatiques.

Il s'agit d'un projet incubateur OWASP.

L'approche ontologique fournie par le framework OdTM présente deux avantages généraux. Premièrement, elle permet la formalisation des connaissances liées à la sécurité (composants architecturaux et menaces et contre-mesures associées) de différents types de systèmes informatiques (domaines architecturaux) sous la forme de modèles de menaces spécifiques à un domaine (ontologies). Deuxièmement, après qu'un architecte système a décrit un système informatique en termes d'un modèle spécifique à un domaine, par exemple avec un DFD (Data Flow Diagram), elle permet l'utilisation de procédures de raisonnement automatique pour construire un modèle de menaces du système (c'est-à-dire identifier les menaces et contre-mesures pertinentes).

Pour commencer à utiliser le framework OdTM, vous pouvez lire ce guide.

Notre approche repose sur un modèle de menaces de base (ontologie). Le modèle de base permet la création de divers modèles de menaces spécifiques à un domaine et leur intégration avec des sources externes, comme les énumérations d'attaques/vulnérabilités/faiblesses, ainsi qu'avec des catalogues de motifs de sécurité (menaces) traditionnels.

Nous disposons également d'une implémentation du modèle Academic Cloud Computing Threat Patterns (ACCTP) en tant que modèle de menaces spécifique à un domaine et du modèle intégré d'ATT&CK, CAPEC et CWE.

Tous les modèles sont implémentés comme des ontologies OWL (Web Ontology Language) avec les logiques de description (DL) comme fondement mathématique.

Nous avons créé un ensemble de diagrammes de flux de données sémantiques (OWL, RDF) à partir de configurations réelles d'applications cloud qui peuvent être utilisés pour diverses recherches dans le domaine de la modélisation des menaces.