Projet OWASP Threat Model Cookbook

Ce projet vise à créer et publier des exemples de modèles de menace. Ils peuvent se présenter sous forme de code, de représentations graphiques ou textuelles. Les modèles utiliseront diverses technologies, méthodologies et techniques.

Vous pouvez apprendre de ces modèles, les utiliser comme base pour démarrer les vôtres, ou contribuer et enrichir certains modèles. Ce qui fait de ce projet un recueil collaboratif de modèles de menace.

https://owasp.org/www-project-threat-model-cookbook/

https://twitter.com/OWASP_tmcb

Avertissement

Les exemples fournis dans ce dépôt ne sont pas des représentations de systèmes sécurisés, mais plutôt des systèmes non sécurisés faciles à modéliser. La plupart sont des systèmes fictifs qui n'existent pas en réalité. Toute ressemblance avec des systèmes réels est purement fortuite.

Contribuer

Nous accueillons favorablement les PR contenant des exemples à ajouter au recueil. Si vous souhaitez ajouter de nouveaux modèles de menace, créer plus de versions basées sur des brouillons existants, n'hésitez pas à soumettre directement une PR.

Voici quelques directives sur le fonctionnement de notre structure de fichiers :

• INDEX.md contient tous les systèmes modélisés avec des images intégrées et de courtes descriptions.
• Les répertoires de premier niveau correspondent au type de modèles de menace. Exemple : Flow Diagram.
• Si votre modèle de menace a 1 ou 2 fichiers, vous pouvez placer les fichiers directement dans ce répertoire. S'il y en a plus, veuillez créer un dossier portant le nom de votre système à modéliser.
• Le nom du système doit utiliser uniquement des tirets et des caractères alphanumériques. Pas d'espaces.
• Un fichier doit avoir une extension spécifique selon le format : system-name.tool et system-name.tool.exportfiletype. Par exemple, nous avons le fichier de code cryptowallet.plantuml et la sortie vers un fichier image généré à partir de ce code sous la forme cryptowallet.plantuml.svg. Reportez-vous au README.md de chaque dossier de premier niveau pour une liste des outils et de leurs extensions de fichiers correspondantes.
• Si vous avez plusieurs représentations du même système utilisant le même outil, nous suggérons d'ajouter altN- au début du fichier où N est un nombre.

Si cela semble compliqué et que vous souhaitez simplement contribuer, vous pouvez toujours soumettre une PR et nous la refactoriserons pour vous. Nous pourrions avoir plus d'automatisation et de références externes à l'avenir, c'est pourquoi nous voulons conserver une structure de fichiers stricte.

Si vous souhaitez discuter de la structure du projet, n'hésitez pas à rejoindre la discussion sur OWASP Slack.

Licences

Tous les modèles sous forme de représentations textuelles ou graphiques sont sous licence CC-BY 4.0

Tous les modèles sous forme de code sont sous licence Apache 2.0