owasp/cumulusCumulus. Threat modeling the Clouds.
Cumulus सुरक्षा को क्लाउड और DevOps टीमों में लाने का आसान तरीका है।
कार्ड गेम Elevation of Privilege के एक प्रकार के रूप में, यह गेमिफिकेशन के माध्यम से किसी सिस्टम की खतरा मॉडलिंग करने के विचार का अनुसरण करता है। यह हल्का और कम-बाधा वाला दृष्टिकोण आपको अपने DevOps या क्लाउड प्रोजेक्ट के लिए खतरे खोजने में मदद करता है और डेवलपर्स को सुरक्षा-उन्मुख मानसिकता सिखाता है।
नवीनतम रिलीज़ यहाँ खोजें।
गंभीर खेलों के माध्यम से खतरा मॉडलिंग का विचार Adam Shostack द्वारा कार्ड गेम Elevation of Privilege से आया है। मूल विचार डेवलपर्स को एक मेज पर लाना और उन्हें अपने सिस्टम की सुरक्षा पर चर्चा शुरू करवाना है। इसके लिए, एक कार्ड गेम खतरों की एक सूची के माध्यम से एक गाइड के रूप में कार्य करता है। इसे कम-बाधा और एजाइल विकास प्रक्रियाओं में स्वाभाविक रूप से एम्बेड करने योग्य बनाया गया है।
जबकि मूल खेल सामान्य रूप से सुरक्षा को संबोधित करता है और OWASP Foundation द्वारा एक और प्रकार, Cornucopia, विशेष रूप से (वेब) एप्लिकेशन सुरक्षा को लक्षित करता है, हमें लगा कि क्लाउड वातावरण में काम करने वाली DevOps टीमों की विशिष्ट आवश्यकताओं की कमी है। Cumulus इस अंतर को भरने का प्रयास करता है और क्लाउड सिस्टम के लिए खतरों के साथ एक कस्टम कार्ड डेक प्रदान करता है।
खतरों को श्रेणियों में वर्गीकृत किया गया है (जो इस खेल में सूट भी हैं):
यह खेल स्पष्ट रूप से Elevation of Privilege या Cornucopia को बदलने का प्रयास नहीं करता है। इसे बल्कि खतरा मॉडलिंग कार्ड डेक के एक त्रिक का हिस्सा माना जाना चाहिए, जो आधुनिक सॉफ्टवेयर विकास परियोजनाओं के विभिन्न पहलुओं को दर्शाता है।
Cumulus एक चाल-आधारित कार्ड गेम है, जो Spades के समान है।
उद्देश्य या तो एक चाल लेकर या खतरे ढूंढकर अधिक से अधिक अंक एकत्र करना है। खेल के अंत में विजेता वह खिलाड़ी होता है जिसके पास सबसे अधिक अंक होते हैं।
खेल की तैयारी में एक आर्किटेक्चरल अवलोकन उत्पन्न किया जाता है। आदर्श रूप से, यह डेटा प्रवाह आरेख के रूप में होता है, लेकिन अंततः कोई भी अवलोकन जो खिलाड़ियों द्वारा समझा जाता है, ठीक है। इसके अतिरिक्त, खिलाड़ी एक प्रारंभिक सूट, यानी एक खतरा श्रेणी पर सहमत होते हैं।
खिलाड़ियों के बीच कार्ड बांटने के बाद, खेल शुरू होता है। पहला डीलर वह खिलाड़ी होता है जिसके पास प्रारंभिक सूट में सबसे निचला कार्ड होता है। डीलर प्रारंभिक सूट में एक कार्ड खेलता है।अन्य प्रत्येक खिलाड़ी को उस दौर में सूट का अनुसरण करना होता है। यदि यह संभव नहीं है, तो खिलाड़ी हाथ पर कोई भी कार्ड चुन सकता है। दौर का विजेता चाल लेता है और वह होता है जिसने दौर के सूट में सबसे अधिक मूल्य का कार्ड या सबसे ऊँचा तुरुप का पत्ता खेला है।
तुरुप के पत्ते पहुँच और रहस्य सूट के कार्ड हैं।
विजेता तब एक अंक प्राप्त करता है, एक नया दौर शुरू करता है और नया सूट चुनता है। हर बार जब एक नया कार्ड खेला जाता है, सभी खिलाड़ियों से यह सोचने के लिए कहा जाता है कि क्या वर्तमान कार्ड पर उल्लिखित वह विशेष खतरा किसी रूप में उनके सिस्टम पर लागू होता है। यदि कोई खतरा पाया जाता है (और टीम सहमत होती है कि यह देखने का विषय है), तो इसे लिख लिया जाता है और खोजकर्ता को एक अतिरिक्त अंक मिलता है।
गंभीर खेलों के माध्यम से खतरा मॉडलिंग करने का मूल और अद्भुत विचार Adam Shostack का है, जो उस समय Microsoft में कार्यरत थे। उन्होंने Elevation of Privilege खेल का आविष्कार किया, जो Cumulus के लिए ब्लूप्रिंट है।
खतरा मॉडलिंग के लिए Elevation of Privilege के दृष्टिकोण का अनुसरण करने वाला एक और शानदार खेल OWASP Foundation द्वारा विकसित Cornucopia है।
दोनों कार्ड गेम विकास टीमों को उनके द्वारा बनाए जा रहे सिस्टम की सुरक्षा बढ़ाने में मदद करने के लिए उत्कृष्ट उपकरण हैं।
हालांकि, हमें विशेष रूप से DevOps/क्लाउड परियोजनाओं को लक्षित करने वाले खतरा मॉडलिंग कार्ड गेम की आवश्यकता महसूस हुई। इसी विचार से Cumulus का जन्म हुआ।
रिमोट या भौगोलिक रूप से वितरित टीमों के लिए इस कार्ड गेम (और Elevation of Privilege और Cornucopia का भी) का एक ऑनलाइन संस्करण मौजूद है। इसे आसानी से स्वयं-होस्ट किया जा सकता है।
आप इसे यहाँ पा सकते हैं:
https://github.com/tng/elevation-of-privilege
वैकल्पिक रूप से, Cumulus को copi.owasp.org पर खेला जा सकता है, रिलीज़ नोट्स देखें। Johan Sydseter को धन्यवाद।
कार्ड डेक में योगदान की बहुत सराहना की जाती है। अंततः, यह कार्ड डेक एक सामुदायिक परियोजना होने का इरादा है।
खतरे के सूत्रीकरण में परिवर्तन cards.tex में पुल रिक्वेस्ट के रूप में स्वागत है।
कार्ड डेक सिमैंटिक वर्शनिंग का पालन करता है। संस्करण परिवर्तन का अर्थ है:
कार्ड गेम (खतरे के सूत्रीकरण और जारी की गई PDF फ़ाइलों सहित) CC-BY-4.0 के तहत वितरित किया जाता है। इस गेम को वितरित करते समय, TNG Technology Consulting का उल्लेख करने की अत्यधिक सराहना की जाती है।
सभी यूटिल्स फ़ाइलें (शेल स्क्रिप्ट, लेआउट के लिए LaTeX कोड) Apache-2.0 के तहत वितरित की जाती हैं।
