CyberQRM – साइबर मात्रात्मक जोखिम प्रबंधन

FAIR v3.1 (Factor Analysis of Information Risk) ढांचे का उपयोग करके मात्रात्मक साइबर सुरक्षा जोखिम मूल्यांकन के लिए एक स्थानीय, ओपन-सोर्स प्लेटफॉर्म। खतरों को मॉडल करें, मोंटे कार्लो सिमुलेशन चलाएं, नियंत्रण प्रभावशीलता मापें, और जोखिम पोर्टफोलियो प्रबंधित करें — सब आपके ब्राउज़र से, बिना किसी क्लाउड खाते की आवश्यकता के।

विशेषताएँ

• FAIR-आधारित जोखिम मॉडलिंग — त्रिकोणीय, लॉगनॉर्मल, या बिंदु वितरणों का उपयोग करके प्रत्येक परिदृश्य के लिए धमकी घटना आवृत्ति, भेद्यता, संपत्ति मूल्य, और हानि घटना प्रभाव को परिभाषित करें
• बहु-आधार संपत्ति मूल्यांकन — संपत्ति मूल्य को कई आयामों (प्रतिस्थापन लागत, राजस्व प्रभाव, नियामक जोखिम, व्यवधान, प्रतिष्ठा मूल्य) के योग के रूप में मॉडल करें, प्रत्येक का अपना वितरण होता है
• प्राथमिक और द्वितीयक हानि — हानि परिमाण का FAIR-मानक विभाजन प्राथमिक हानि रूपों (उत्पादकता, प्रतिक्रिया, प्रतिस्थापन) और द्वितीयक हानि रूपों (जुर्माना और निर्णय, प्रतिष्ठा क्षति, प्रतिस्पर्धात्मक लाभ) में, एक द्वितीयक हानि घटना आवृत्ति (SLEF) द्वारा पृथक। सूत्र: LM = PLM + SLEF × SLEM
• MITRE ATT&CK एकीकरण — TEF और भेद्यता चरणों पर ATT&CK तकनीकों को ब्राउज़ और चुनें; तकनीक प्रचलन स्तरों और शमन कवरेज के आधार पर सक्रिय सीमा सुझाव प्राप्त करें
• मोंटे कार्लो सिमुलेशन इंजन — पुनरुत्पादनीय परिणामों के लिए कॉन्फ़िगरेबल बीज के साथ 10,000-पुनरावृत्ति सिमुलेशन
• वार्षिक हानि प्रत्याशा (ALE) विश्लेषण — माध्य, माध्यिका, प्रतिशतक (P10–P99), और 90%/95% विश्वास अंतराल
• संवेदनशीलता/टॉर्नेडो चार्ट — पहचानें कि कौन से FAIR घटक सबसे अधिक जोखिम चलाते हैं
• नियंत्रण प्रभावशीलता विश्लेषण — वर्तमान और प्रस्तावित नियंत्रणों को मॉडल करें; ALE में कमी, ROI, और पेबैक अवधि की गणना करें
• पोर्टफोलियो प्रबंधन — संगठन-व्यापी जोखिम को समझने के लिए कई परिदृश्यों को एकत्रित करें
• स्थायी स्थानीय भंडारण — SQLite डेटाबेस, कोई डेटा आपकी मशीन नहीं छोड़ता
• पूरी तरह से ऑफलाइन — स्थापना के बाद कोई इंटरनेट कनेक्शन आवश्यक नहीं (ATT&CK डेटासेट स्थापना समय पर एक बार डाउनलोड किया जाता है)

स्क्रीनशॉट

पूर्वापेक्षाएँ

Node.js स्थापित करना

• आधिकारिक इंस्टॉलर (अनुशंसित): nodejs.org/en/download — "Current" या "LTS ≥ 22" रिलीज़ चुनें
• Homebrew के माध्यम से macOS: brew install node
• nvm के माध्यम से कोई भी प्लेटफॉर्म: nvm install 22 && nvm use 22
• winget के माध्यम से Windows: winget install OpenJS.NodeJS

स्थापना

macOS / Linux

# Clone the repository
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

# Run the installer (checks Node version, installs all dependencies, downloads ATT&CK data)
chmod +x install.sh
./install.sh

Windows

REM Clone the repository (Git Bash, PowerShell, or any terminal)
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

REM Run the installer (double-click or run from a terminal)
install.bat

इंस्टॉलर निम्नलिखित करेगा:

1. सत्यापित करें कि Node.js 22.5+ मौजूद है और यदि नहीं है तो एक सहायक त्रुटि प्रिंट करें
2. रूट, बैकएंड और फ्रंटएंड npm निर्भरताएँ स्थापित करें
3. SQLite डेटाबेस के लिए backend/data/ निर्देशिका बनाएँ
4. MITRE ATT&CK एंटरप्राइज़ डेटासेट (~30 MB) डाउनलोड करें — यदि डाउनलोड विफल होता है तो ऐप अभी भी काम करता है; ATT&CK सुविधाएँ "डेटा अनुपलब्ध" दिखाएँगी जब तक फ़ाइल मौजूद नहीं है

ऐप चलाना

macOS / Linux

./start.sh

यह दो टर्मिनल विंडो (या डेस्कटॉप के बिना Linux पर बैकग्राउंड प्रक्रियाएँ) खोलता है — एक बैकएंड API के लिए और एक फ्रंटएंड dev सर्वर के लिए — फिर आपका ब्राउज़र स्वचालित रूप से खोलता है।

Windows

start.bat

दो कंसोल विंडो (बैकएंड और फ्रंटएंड) खुलेंगी। आपका ब्राउज़र 5 सेकंड के बाद स्वचालित रूप से खुल जाएगा।

एक बार चलने पर, ऐप तक निम्नलिखित URL पर पहुँचें:

यदि पोर्ट 5173 पहले से उपयोग में है, तो Vite स्वचालित रूप से 5174 पर स्विच करेगा।

यह कैसे काम करता है

CyberQRM FAIR v3.1 पद्धति को चार चरणों में लागू करता है:

1. एक परिदृश्य परिभाषित करें — संपत्ति, खतरा अभिनेता, और व्यावसायिक संदर्भ का नाम बताएं
2. FAIR पैरामीटर सेट करें — TEF, भेद्यता, संपत्ति मूल्य, और हानि प्रभाव के लिए वितरण दर्ज करें
3. सिमुलेशन चलाएं — इंजन प्रत्येक वितरण का 10,000 बार नमूना लेता है और ALE की गणना करता है
4. परिणामों का विश्लेषण करें — ALE प्रतिशतक, संवेदनशीलता चालक, और नियंत्रण ROI की समीक्षा करें

उन्नत परिदृश्य मॉडलिंग

बहु-आधार संपत्ति मूल्यांकन — संपत्ति मूल्य चरण पर "उन्नत: कई मूल्यांकन आधारों का उपयोग करें" टॉगल करें ताकि प्रत्येक मूल्य आयाम के लिए अलग-अलग वितरण परिभाषित कर सकें। सिमुलेशन प्रति पुनरावृत्ति सभी आधारों का योग करता है।

प्राथमिक और द्वितीयक हानि — हानि प्रभाव चरण पर "उन्नत: प्राथमिक और द्वितीयक हानि में विभाजित करें" टॉगल करें ताकि प्राथमिक प्रत्यक्ष लागत और द्वितीयक हितधारक-लगाई गई लागत (जुर्माना, प्रतिष्ठा क्षति, प्रतिस्पर्धात्मक हानि) को एक सशर्त SLEF संभावना के साथ मॉडल कर सकें। सभी राशियाँ पूर्ण USD में हैं।

MITRE ATT&CK — TEF और भेद्यता चरणों पर, तकनीक ब्राउज़र खोलें ताकि रणनीति द्वारा फ़िल्टर कर सकें, नाम या ID द्वारा खोज सकें, और प्रासंगिक तकनीकों का चयन कर सकें। प्लेटफॉर्म वास्तविक दुनिया के प्रचलन स्तरों (Red Canary / CTID दृश्यों से प्राप्त) के आधार पर TEF श्रेणियाँ और आपके द्वारा लागू किए गए ATT&CK शमनों की संख्या के आधार पर भेद्यता श्रेणियाँ सुझाता है।

डेटाबेस पहली बार चलाने पर स्वचालित रूप से बनाया जाता है (backend/data/cyberqrm.db)। सभी डेटा आपकी स्थानीय मशीन पर रहता है।

परियोजना संरचना

CyberQRM/
├── backend/               # Express.js + TypeScript API
│   ├── src/
│   │   ├── index.ts       # Server entry point (port 3001)
│   │   ├── db/            # SQLite adapter, schema & migrations
│   │   ├── routes/        # REST endpoints (scenarios, controls, portfolios, ATT&CK)
│   │   ├── services/      # Business logic, Monte Carlo engine & ATT&CK service
│   │   ├── data/          # attack-prevalence.json (bundled TEF tier data)
│   │   └── middleware/    # Error handling
│   └── data/              # SQLite database + ATT&CK STIX file (auto-created)
├── frontend/              # React 18 + Vite + TypeScript
│   └── src/
│       ├── pages/         # Dashboard, Scenarios, Controls, Portfolios
│       ├── components/    # Charts, forms, UI primitives
│       │   └── forms/     # ScenarioForm, AttackTechniqueSelector,
│       │                  #   ValuationBasisList, PrimarySecondaryLossForm
│       ├── store/         # Zustand state management
│       └── utils/         # API client, formatting, report generator
├── shared/                # Shared TypeScript types (FAIR data model)
├── install.sh             # macOS/Linux installer
├── install.bat            # Windows installer
├── start.sh               # macOS/Linux launcher
└── start.bat              # Windows launcher

तकनीकी स्टैक

विकास

हॉट-रिलोडिंग के साथ कोड पर काम करने के लिए:

# Install dependencies (if not done already)
./install.sh        # macOS/Linux
install.bat         # Windows

# Start both services with live reload
npm run dev         # from the project root (requires npm-run-all)

# Or start them individually
npm run dev:backend
npm run dev:frontend

उत्पादन बंडल बनाने के लिए:

npm run build
# Then run the compiled backend:
cd backend && npm start
# Serve frontend/dist with any static file server

योगदान

योगदान का स्वागत है। कृपया महत्वपूर्ण बदलावों पर चर्चा करने के लिए पहले एक मुद्दा खोलें।

1. रिपॉजिटरी को फोर्क करें
2. एक फीचर ब्रांच बनाएं (git checkout -b feature/your-feature)
3. अपने परिवर्तनों को कमिट करें
4. एक पुल रिक्वेस्ट खोलें

लाइसेंस

MIT — विवरण के लिए LICENSE देखें।

स्वीकृतियाँ

यह परियोजना FAIR™ (Factor Analysis of Information Risk) ऑन्टोलॉजी को लागू करती है। FAIR FAIR Institute का एक ट्रेडमार्क है।

ATT&CK® माइट्र कॉर्पोरेशन का एक पंजीकृत ट्रेडमार्क है। ATT&CK सामग्री का उपयोग ATT&CK उपयोग की शर्तों के तहत किया जाता है।