owasp/threat-dragonUn outil open source de modélisation des menaces de l'OWASP
OWASP Threat Dragon est une application de modélisation des menaces gratuite, open-source et multiplateforme. Elle sert à dessiner des diagrammes de modélisation des menaces et à lister les menaces pour les éléments du diagramme. Mike Goodwin a créé Threat Dragon comme un projet communautaire open source qui offre une manière intuitive et accessible de modéliser les menaces.
Threat Dragon est conçu pour être accessible à différents types d'équipes, avec un accent sur la flexibilité et la simplicité. Le projet a le statut de production OWASP et suit les valeurs et les principes du .
Ce programme est un logiciel libre : vous pouvez le redistribuer et/ou le modifier selon les termes de la licence Apache 2.0.
Accédez à la dernière version de Threat Dragon sur le site de démonstration et consultez les pages de documentation.
Il vaut également la peine de regarder la vidéo proposée par la série OWASP Spotlight.
La zone de versions GitHub contient Threat Dragon de la version 1.3 aux dernières versions 2.x. Les versions précédentes proviennent du dépôt d'origine de Mike Goodwin.
Il existe une bonne vue d'ensemble de la modélisation des menaces et de l'évaluation des risques proposée par l'OWASP, et elle développe ce que le projet Threat Dragon vise à offrir :
Mike Goodwin est le fondateur et le créateur de ce projet, et ce dépôt a été migré depuis le dépôt d'origine de Mike Goodwin, qui contient les issues et les pull requests d'octobre 2015 à juin 2020.
Threat Dragon est avant tout une application web. L'application web peut stocker les fichiers de modèles de menaces sur le système de fichiers local ; en outre, l'accès peut être configuré pour :
Les versions bureau de Threat Dragon stockent les fichiers de modèles de menaces sur le système de fichiers local et n'accèdent pas aux dépôts externes. Vous pouvez télécharger des installateurs pour Windows, MacOS et Linux.
L'aide à l'utilisateur final est disponible pour la version 2.x la plus récente et pour l'ancienne version 1.x.
Threat Dragon a été initialement écrit avec AngularJS version 1.x, mais cette version d'Angular a atteint sa fin de vie. Cela signifie que les versions 1.x de Threat Dragon ne sont plus activement maintenues et que les versions 2.x ont été réécrites pour utiliser Vue.js.
Pour plus d'informations sur la compilation/l'exécution de la version 1.x, veuillez consulter la branche legacy-v1.x.
Clonez le dépôt en utilisant : git clone https://github.com/owasp/threat-dragon.git
Ceci télécharge le code dans un répertoire threat-dragon et le code de l'application se trouve dans deux sous-dossiers,
l'un pour l'application back-end (td.server) et l'autre pour le front-end (td.vue).
Installez depuis le répertoire racine du projet en utilisant : npm install
La variante web de Threat Dragon nécessite certaines variables d'environnement ; suivez la documentation pour savoir comment définir ces variables.
Si l'accès à des dépôts externes est requis, comme Bitbucket / GitHub / GitLab, vous devez vous rendre sur le compte de votre dépôt et enregistrer l'application. Il existe des guides pas à pas pour Bitbucket, GitHub et GitLab.
Sous Windows, et pendant le développement, le front-end et le serveur back-end
peuvent être démarrés séparément en mode « watch » à l'aide des commandes : npm run dev:server et npm run dev:vue.
Sinon, sous Linux ou MacOS, démarrez à la fois le serveur back-end et l'application front-end
depuis le répertoire racine en utilisant : npm start.
Avec le front-end et le back-end en cours d'exécution, accédez à l'application avec un navigateur à l'adresse http://localhost:8080/
Si vous utilisez npm start, arrêtez à la fois le serveur back-end et l'application front-end
depuis le répertoire racine avec la commande npm stop. Sinon, interrompez à la fois le serveur et le front-end Vue.
Threat Dragon maintient des images Docker dans la zone de l'organisation OWASP sur Docker Hub.
Chaque version est taguée v{major}.{minor}.{patch}, par exemple v2.2.0 :
docker pull owasp/threat-dragon:v2.2.0Le tag latest (qui est celui par défaut) peut très bien être une version de développement,
utilisez donc le tag stable, qui sera toujours la dernière version officielle :
docker pull threatdragon/owasp-threat-dragon:stabledocker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0docker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0En supposant que vous utilisez le port HTTP 8080 et que vous accédez à Threat Dragon sur http://localhost:8080/.
Pour exécuter Threat Dragon dans un conteneur Docker construit localement, configurez d'abord votre environnement à l'aide de dotenv puis exécutez depuis le répertoire racine du projet :
docker build -t owasp-threat-dragon:dev .docker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env owasp-threat-dragon:devdocker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env owasp-threat-dragon:devEn utilisant le port HTTP 8080 et en accédant à Threat Dragon sur http://localhost:8080/.
Les pull requests, demandes de fonctionnalités, rapports de bugs et retours de toute nature sont les bienvenus, veuillez vous référer à la page des contributeurs.
Il existe quelques notes pour développeurs pour vous aider à démarrer avec ce projet. Nous essayons de maintenir une couverture de tests relativement élevée, incluez donc des tests dans vos pull requests.
Le moyen le plus simple d'entrer en contact avec la communauté Threat Dragon est d'envoyer un e-mail au groupe Google OWASP. Le canal Slack OWASP #project-threat-dragon est une bonne source d'informations, bien que vous deviez peut-être vous abonner au préalable.
Vous pouvez suivre Threat Dragon sur Bluesky.
Si vous trouvez une vulnérabilité dans ce projet, veuillez nous le faire savoir dès que possible et nous la corrigerons en priorité. Pour une divulgation sécurisée, veuillez consulter la politique de sécurité.
Threat Dragon : rendre la modélisation des menaces moins menaçante