OWASP Security Shepherd

Le projet OWASP Security Shepherd est une plateforme de formation à la sécurité des applications web et mobiles. Security Shepherd a été conçu pour favoriser et améliorer la sensibilisation à la sécurité parmi un groupe démographique aux compétences variées. L'objectif de ce projet est de prendre des novices en AppSec ou des ingénieurs expérimentés et d'affiner leurs compétences en tests d'intrusion jusqu'au statut d'expert en sécurité.

Où puis-je télécharger Security Shepherd ?

Machine virtuelle ou installation manuelle

Vous pouvez télécharger les VM Security Shepherd ou les packs d'installation manuelle depuis GitHub

Docker (Hôte Ubuntu Linux)

Configuration initiale

# Install pre-reqs
sudo apt install git maven docker docker-compose openjdk-17-jdk

# Clone the github repository
git clone https://github.com/OWASP/SecurityShepherd.git

# Change directory into the local copy of the repository
cd SecurityShepherd

# Adds current user to the docker group (don't have to run docker with sudo)
sudo gpasswd -a $USER docker

# Run maven to generate the WAR and HTTPS Cert.
mvn -Pdocker clean install -DskipTests

# Build the docker images, docker network and bring up the environment
docker-compose up

Ouvrez un navigateur Internet et tapez dans la barre d'adresse ;

• localhost

Pour vous connecter, utilisez les identifiants suivants (vous serez invité à les mettre à jour après la connexion) ;

• nom d'utilisateur : admin
• mot de passe : password

Remarque : Les variables d'environnement peuvent être configurées dans le fichier dotenv .env à la racine du répertoire.

Guide complet

Docker-Environment-Setup

Comment configurer Security Shepherd ?

Nous disposons de procédures entièrement automatisées et pas à pas sur notre page wiki pour vous aider à installer et exécuter Security Shepherd.

À quoi Security Shepherd peut-il servir ?

Security Shepherd peut être utilisé comme ;

• Outil pédagogique pour la sécurité de toutes les applications
• Plateforme de formation aux tests d'intrusion d'applications web
• Formation aux tests d'intrusion d'applications mobiles
• Terrain de jeu sûr pour pratiquer les techniques AppSec
• Plateforme pour démontrer des exemples de risques de sécurité réels

Pourquoi choisir Security Shepherd ?

Il existe de nombreuses applications délibérément vulnérables dans l'inventaire des projets OWASP, et encore plus sur Internet. Pourquoi devriez-vous utiliser Security Shepherd ? Voici quelques raisons ;

• Large couverture thématique
  Shepherd inclut plus de soixante niveaux couvrant tout le spectre de la sécurité des applications web et mobiles sous un seul projet.
• Courbe d'apprentissage douce
  Shepherd est parfait pour les utilisateurs totalement novices en sécurité, les niveaux augmentant en difficulté à un rythme agréable.
• Explications pour non-initiés
  Lorsque chaque concept de sécurité est présenté pour la première fois dans Shepherd, il l'est en termes simples afin que tout le monde (même les débutants) puisse les assimiler.
• Exemples concrets
  Les risques de sécurité dans Shepherd sont de vraies vulnérabilités dont l'impact d'exploitation a été atténué pour protéger l'application, les utilisateurs et l'environnement. Il n'y a pas de risques de sécurité simulés qui nécessitent un vecteur d'attaque spécifique et attendu pour réussir un niveau. Les vecteurs d'attaque utilisés sur Shepherd se comportent comme ils le feraient dans le monde réel.
• Évolutivité
  Shepherd peut être utilisé localement par un seul utilisateur ou facilement comme serveur pour un grand nombre d'utilisateurs.
• Hautement personnalisable
  Shepherd permet aux administrateurs de définir les niveaux disponibles pour leurs utilisateurs et la manière dont ils sont présentés (dispositions Ouverte, CTF et Tournoi)
• Parfait pour les salles de classe
  Shepherd donne à ses joueurs des clés de solution spécifiques à l'utilisateur pour empêcher les étudiants de partager des clés, plutôt que de suivre les étapes nécessaires pour terminer un niveau.
• Tableau des scores
  Security Shepherd dispose d'un tableau des scores configurable pour encourager un environnement d'apprentissage compétitif. Les utilisateurs qui terminent les niveaux premier, deuxième et troisième reçoivent des médailles sur leur entrée du tableau des scores et des points bonus pour garder les choses intéressantes sur le tableau des scores.
• Gestion des utilisateurs
  Les administrateurs de Security Shepherd peuvent créer des utilisateurs, créer des administrateurs, suspendre, réactiver, ajouter des points bonus ou retirer des points de pénalité des comptes des utilisateurs grâce aux contrôles de gestion des utilisateurs administrateurs. Les administrateurs peuvent également segmenter leurs étudiants en groupes de classe spécifiques. Les administrateurs peuvent voir la progression d'une classe pour identifier les participants en difficulté. Un administrateur peut même fermer l'inscription publique et créer manuellement des utilisateurs s'il souhaite une expérience privée.
• Service robuste
  Shepherd a été utilisé pour organiser des CTF en ligne tels que l'OWASP Global CTF et l'OWASP LATAM Tour CTF 2015, tous deux ayant dépassé les 200 utilisateurs actifs et fonctionnant sans temps d'arrêt, à l'exception des périodes de maintenance planifiées.