owasp/cumulusक्यूम्यलस। बादलों की खतरा मॉडलिंग।
Cumulus क्लाउड और devOps टीमों में सुरक्षा लाने का आसान तरीका है।
कार्ड गेम Elevation of Privilege के एक प्रकार के रूप में, यह गेमिफिकेशन के माध्यम से किसी सिस्टम का खतरा मॉडलिंग करने के विचार का अनुसरण करता है। यह हल्का और कम-बाधा वाला दृष्टिकोण आपको अपने devOps या क्लाउड प्रोजेक्ट के लिए खतरे खोजने में मदद करता है और डेवलपर्स को सुरक्षा-उन्मुख मानसिकता सिखाता है।
नवीनतम रिलीज़ यहाँ खोजें।
गंभीर खेलों के माध्यम से खतरा मॉडलिंग का विचार कार्ड गेम Elevation of Privilege से आता है, जिसे Adam Shostack ने बनाया था। मूल विचार यह है कि डेवलपर्स को एक मेज़ पर लाया जाए और उन्हें अपने सिस्टम की सुरक्षा पर चर्चा शुरू करने के लिए प्रेरित किया जाए। इसके लिए, एक कार्ड गेम खतरों की सूची के माध्यम से एक मार्गदर्शक के रूप में कार्य करता है। इसे कम-बाधा वाला और स्वाभाविक रूप से चुस्त विकास प्रक्रियाओं में एम्बेड करने योग्य बनाया गया है।
जबकि मूल गेम सामान्य रूप से सुरक्षा को संबोधित करता है और एक अन्य प्रकार, OWASP Foundation द्वारा Cornucopia, विशेष रूप से (वेब) एप्लिकेशन सुरक्षा को लक्षित करता है, हमें लगा कि क्लाउड वातावरण में काम करने वाली devOps टीम की विशिष्ट आवश्यकताएँ छूट गई हैं। Cumulus इस अंतर को भरने का प्रयास करता है और क्लाउड सिस्टम के लिए खतरों के साथ एक कस्टम कार्ड डेक प्रदान करता है।
खतरों को श्रेणियों में वर्गीकृत किया गया है (जो इस गेम में सूट भी हैं):
यह गेम स्पष्ट रूप से Elevation of Privilege या Cornucopia को बदलने का प्रयास नहीं करता है। इसे बल्कि खतरा मॉडलिंग कार्ड डेक की तिकड़ी का हिस्सा माना जाना चाहिए, जो आधुनिक सॉफ्टवेयर विकास परियोजनाओं के विभिन्न पहलुओं को दर्शाता है।
Cumulus एक ट्रिक-टेकिंग कार्ड गेम है, जो spades के समान है।
उद्देश्य यथासंभव अधिक अंक एकत्र करना है, या तो एक ट्रिक लेकर या खतरे खोजकर। खेल के अंत में विजेता वह खिलाड़ी होता है जिसके सबसे अधिक अंक होते हैं।
खेल की तैयारी में एक आर्किटेक्चरल अवलोकन तैयार किया जाता है। आदर्श रूप से, यह डेटा फ्लो डायग्राम के रूप में होता है, लेकिन अंत में हर वह अवलोकन ठीक है जिसे खिलाड़ी समझते हैं। इसके अतिरिक्त, खिलाड़ी एक प्रारंभिक सूट पर सहमत होते हैं, अर्थात एक खतरा श्रेणी।
खिलाड़ियों के बीच कार्ड वितरित करने के बाद, खेल शुरू होता है। पहला डीलर वह खिलाड़ी होता है जिसके पास प्रारंभिक सूट में सबसे कम कार्ड होता है। डीलर प्रारंभिक सूट में एक कार्ड खेलता है। उस राउंड के दौरान प्रत्येक अन्य खिलाड़ी को सूट का पालन करना होता है। यदि यह संभव नहीं है, तो खिलाड़ी हाथ में कोई भी कार्ड चुन सकता है। राउंड का विजेता ट्रिक लेता है और वह वही होता है जिसने राउंड के सूट में सबसे अधिक मूल्य का कार्ड या सबसे अधिक ट्रम्प कार्ड खेला हो।
ट्रम्प Access & Secrets सूट के कार्ड होते हैं।
विजेता को फिर एक अंक मिलता है, नया राउंड शुरू करता है और नया सूट चुनता है। हर बार जब एक नया कार्ड खेला जाता है, तो सभी खिलाड़ियों से यह सोचने के लिए कहा जाता है कि क्या वर्तमान कार्ड पर उल्लिखित वह विशेष खतरा किसी रूप में उनके सिस्टम पर लागू होता है। यदि कोई खतरा पाया जाता है (और टीम सहमत होती है कि यह देखने योग्य विषय है), तो इसे लिख लिया जाता है और खोजकर्ता को एक अतिरिक्त अंक मिलता है।
गंभीर खेलों के माध्यम से खतरा मॉडलिंग करने का मूल और अद्भुत विचार Adam Shostack से आता है, जो उस समय Microsoft के लिए काम करते थे। उन्होंने Elevation of Privilege गेम का आविष्कार किया जो Cumulus के लिए ब्लूप्रिंट है।
Elevation of Privilege के खतरा मॉडलिंग दृष्टिकोण का अनुसरण करने वाला एक और शानदार गेम Cornucopia है, जिसे OWASP Foundation द्वारा विकसित किया गया है।
दोनों कार्ड गेम विकास टीमों को उनके द्वारा बनाए जा रहे सिस्टम की सुरक्षा बढ़ाने में मदद करने के लिए शानदार उपकरण हैं।
हालाँकि, हमें विशेष रूप से devOps/क्लाउड प्रोजेक्ट्स को लक्षित करने वाले खतरा मॉडलिंग कार्ड गेम की आवश्यकता महसूस हुई। इसी विचार से Cumulus का जन्म हुआ।
इस कार्ड गेम का एक ऑनलाइन संस्करण मौजूद है (और Elevation of Privilege तथा Cornucopia का भी) दूरस्थ या भौगोलिक रूप से वितरित टीमों के लिए। इसे आसानी से स्वयं होस्ट किया जा सकता है।
आप इसे यहाँ पा सकते हैं:
https://github.com/tng/elevation-of-privilege
वैकल्पिक रूप से, Cumulus को copi.owasp.org पर खेला जा सकता है, देखें रिलीज़ नोट्स। Johan Sydseter को धन्यवाद।
मुद्रित कार्ड CyberSecGames पर उपलब्ध हैं।
कार्ड डेक में योगदान की बहुत सराहना की जाती है। अंत में, यह कार्ड डेक एक सामुदायिक परियोजना बनने के लिए है।
खतरे की शब्दावली में परिवर्तन cards.tex पर पुल रिक्वेस्ट के रूप में स्वागत योग्य हैं।
कार्ड डेक semantic versioning का पालन करता है। संस्करण परिवर्तन का अर्थ है:
कार्ड गेम (खतरे की शब्दावली और जारी की गई PDF फ़ाइलों सहित) CC-BY-4.0 के अंतर्गत वितरित किया जाता है। इस गेम को वितरित करते समय, TNG Technology Consulting का उल्लेख करना अत्यधिक सराहनीय है।
सभी utils फ़ाइलें (शेल स्क्रिप्ट, लेआउटिंग के लिए LaTeX कोड) Apache-2.0 के अंतर्गत वितरित की जाती हैं।
