threatmap — STRIDE, MITRE ATT&CK, और PASTA फ्रेमवर्क के साथ IaC थ्रेट मॉडलर। Terraform, CloudFormation, और Kubernetes के लिए REST API, GraphQL, और Docker समर्थन। | Kitploit

threatmap serve --host 0.0.0.0 --port 8000
# या Docker के माध्यम से:
docker run -p 8000:8000 bogdynn/threatmap:2.1.0
# API एंडपॉइंट: /health, /version, /rules, /analyze

docker run -p 8000:8000 bogdynn/threatmap:2.1.0
# GraphQL एंडपॉइंट: http://localhost:8000/graphql
# क्वेरी: health, version, rules
# म्यूटेशन: analyze(content, filename, framework)

# STRIDE (डिफ़ॉल्ट)
threatmap scan ./infra/ --framework stride

# MITRE ATT&CK (रणनीति और तकनीकों में मैप करता है)
threatmap scan ./infra/ --framework mitre --format json

# PASTA (एसेट-केंद्रित थ्रेट मॉडलिंग)
threatmap scan ./infra/ --framework pasta --format json

ID	गंभीरता	STRIDE श्रेणी	संसाधन	विवरण
T-001	🔴 CRITICAL	सूचना प्रकटीकरण	`AuditBucket`	S3 बकेट 'AuditBucket' में कोई सार्वजनिक पहुँच अवरोध कॉन्फ़िगर नहीं है — बकेट सार्वजनिक रूप से सुलभ हो सकती है।
T-002	🔴 CRITICAL	स्पूफिंग	`WebSecurityGroup`	सुरक्षा समूह 'WebSecurityGroup' 0.0.0.0/0 के लिए SSH/RDP (पोर्ट 22/3389) खोलता है।
T-003	🔴 CRITICAL	विशेषाधिकार वृद्धि	`app_contributor`	भूमिका असाइनमेंट 'app_contributor' विशेषाधिकार प्राप्त भूमिका 'Contributor' प्रदान करता है।
T-006	🟠 HIGH	सूचना प्रकटीकरण	`AuditBucket`	S3 बकेट 'AuditBucket' में सर्वर-साइड एन्क्रिप्शन कॉन्फ़िगर नहीं है।
T-008	🟠 HIGH	विशेषाधिकार वृद्धि	`api`	डिप्लॉयमेंट 'api' में कंटेनर 'api' रूट के रूप में चल सकता है (कोई runAsNonRoot=true या runAsUser=0 नहीं)।
T-011	🟠 HIGH	विशेषाधिकार वृद्धि	`web`	EC2 इंस्टेंस 'web' IMDSv1 को अनुमति देता है — मेटाडेटा सेवा बिना सत्र टोकन के सुलभ, जो SSRF-आधारित क्रेडेंशियल चोरी को सक्षम बनाता है।

### T-002 — स्पूफिंग (CRITICAL)

संसाधन:   AWS::EC2::SecurityGroup.WebSecurityGroup
गुण:      ingress.ssh_rdp_open
निष्कर्ष:  सुरक्षा समूह 'WebSecurityGroup' 0.0.0.0/0 के लिए SSH/RDP (पोर्ट 22/3389) खोलता है।
शमन:      सार्वजनिक SSH/RDP पहुँच हटाएँ। AWS Systems Manager Session Manager
            या IP प्रतिबंधों के साथ बास्टियन होस्ट का उपयोग करें।

flowchart LR
    Internet((Internet))
    subgraph Networking
        aws_security_group_web_sg{web_sg}
        NetworkPolicy_default_deny{default-deny}
        azurerm_network_security_group_app_nsg{app_nsg}
    end
    subgraph Compute
        aws_instance_web[web]
    end
    subgraph Kubernetes
        Namespace_myapp[myapp]
        Deployment_api[api]
        Service_api_svc[api-svc]
        Ingress_api_ingress[api-ingress]
    end
    subgraph Data
        aws_s3_bucket_app_data[(app_data)]
        aws_db_instance_app_db[(app_db)]
        azurerm_storage_account_app_storage[(app_storage)]
    end
    subgraph Security
        azurerm_key_vault_app_kv[app_kv]
    end
    subgraph Identity
        azurerm_role_assignment_app_contributor[/app_contributor/]
    end
    AWS__S3__Bucket_AppBucket -->|ref| AWS__S3__Bucket_AuditBucket
    AWS__CloudTrail__Trail_AppTrail -->|ref| AWS__S3__Bucket_AuditBucket
    Internet -->|HTTPS| Ingress_api_ingress
    style aws_security_group_web_sg fill:#ff4444,color:#fff
    style aws_s3_bucket_app_data fill:#ff4444,color:#fff
    style aws_instance_web fill:#ff8800,color:#fff
    style Deployment_api fill:#ff8800,color:#fff
    style azurerm_key_vault_app_kv fill:#ffcc00,color:#000
    style azurerm_network_security_group_app_nsg fill:#ff8800,color:#fff
    style azurerm_role_assignment_app_contributor fill:#ff4444,color:#fff

rules:
  - resource_type: "aws_s3_bucket"
    property: "force_destroy"
    expected: false
    stride: "Tampering"
    severity: "MEDIUM"
    description: "Production buckets should not have force_destroy enabled."
    mitigation: "Set force_destroy = false."

threatmap/analyzers/
├── aws.py         # 22 नियम — S3, IAM, EC2, RDS, EKS, CloudTrail, KMS, Lambda
├── azure.py       # 19 नियम — Storage, Key Vault, NSG, RBAC, AKS, ACR, SQL
├── gcp.py         # 15 नियम — GCS, Firewall, Compute, Cloud SQL, GKE, IAM, KMS
└── kubernetes.py  # 17 नियम — workloads, RBAC, network, secrets

गंभीरता	अर्थ
CRITICAL	बिना किसी अतिरिक्त शर्त के सीधे शोषण योग्य (जैसे, 0.0.0.0/0 के लिए SSH खुला, वाइल्डकार्ड IAM नीति, अज्ञात को क्लस्टर-एडमिन बाइंडिंग)
HIGH	एक अतिरिक्त चरण की आवश्यकता वाला महत्वपूर्ण जोखिम (जैसे, सार्वजनिक पहुँच के साथ अनएन्क्रिप्टेड RDS, EC2 इंस्टेंस पर IMDSv1)
MEDIUM	गहराई में रक्षा नियंत्रण अनुपलब्ध — तत्काल जोखिम कम लेकिन सुरक्षा आधार रेखा का उल्लंघन (जैसे, कोई वर्जनिंग नहीं, कोई लॉगिंग नहीं, कोई संसाधन सीमा नहीं)
LOW	सीमित स्वतंत्र शोषण क्षमता वाले सर्वोत्तम अभ्यास अंतराल (जैसे, Lambda VPC में नहीं)

# .github/workflows/threat-model.yml
name: Threat Model

on: [pull_request]

jobs:
  threatmap:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Python सेट करें
        uses: actions/setup-python@v5
        with:
          python-version: "3.11"

      - name: threatmap इंस्टॉल करें
        run: pip install threatmap

      - name: थ्रेट मॉडल स्कैन चलाएँ
        run: |
          threatmap scan ./infra/ \
            --format markdown \
            --output threat-report.md \
            --fail-on HIGH

      - name: थ्रेट रिपोर्ट अपलोड करें
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: threat-report
          path: threat-report.md

प्रारूप	प्रदाता	एक्सटेंशन
Terraform HCL	AWS, Azure, GCP	`.tf`
CloudFormation	AWS	`.yaml`, `.yml`, `.json`
Kubernetes मैनिफेस्ट	Kubernetes	`.yaml`, `.yml`

प्रदाता	S	T	R	I	D	E
AWS	✓	✓	✓	✓	✓	✓
Azure	✓	✓	✓	✓	—	✓
GCP	✓	✓	✓	✓	—	✓
Kubernetes	✓	✓	—	✓	✓	✓

threatmap

सबसे लोकप्रिय

त्वरित प्रारंभ

समर्थित प्रारूप और प्रदाता

इंस्टॉल करें

उपयोग

थ्रेट मॉडलिंग फ्रेमवर्क

नमूना रिपोर्ट आउटपुट

STRIDE थ्रेट तालिका

शमन विवरण (अंश)

डेटा प्रवाह आरेख (Mermaid)

उन्नत सुविधाएँ (v2.1.0+)

ग्राफ-आधारित आक्रमण पथ विश्लेषण

कस्टम YAML नियम

शमन संकेत

आर्किटेक्चर

गंभीरता कैसे निर्धारित की जाती है

झूठी सकारात्मकता से कैसे बचा जाता है

CI एकीकरण

STRIDE नियम कवरेज

विकास

योगदान

प्रदाता	नियम
AWS (Terraform + CloudFormation)	22
Azure (Terraform)	19
GCP (Terraform)	15
Kubernetes	17
कुल	73