OWASP Security Shepherd

OWASP Security Shepherd Project एक वेब और मोबाइल एप्लिकेशन सुरक्षा प्रशिक्षण प्लेटफ़ॉर्म है। Security Shepherd को विविध कौशल-समूह वाले जनसांख्यिकीय वर्गों के बीच सुरक्षा जागरूकता को बढ़ावा देने और सुधारने के लिए डिज़ाइन किया गया है। इस परियोजना का उद्देश्य AppSec नौसिखियों या अनुभवी इंजीनियरों को लेकर उनके पेनेट्रेशन टेस्टिंग कौशल को सुरक्षा विशेषज्ञ स्तर तक तेज़ करना है।

दस्तावेज़ीकरण

दस्तावेज़ीकरण https://owasp.github.io/SecurityShepherd/ पर उपलब्ध है: कैसे खेलें, Security Shepherd और एक इवेंट को कैसे चलाएँ, और कैसे योगदान दें।

त्वरित शुरुआत

पहले पूर्वापेक्षाएँ देखें। फिर Security Shepherd को बनाएँ और शुरू करें:

git clone https://github.com/OWASP/SecurityShepherd.git
cd SecurityShepherd
# Build the WAR and generate the database scripts the images need
mvn -Pdocker clean package -DskipTests
# Build the images and start the containers
docker compose up -d --build

फिर https://localhost खोलें और डेटाबेस कॉन्फ़िगर करने तथा लॉग इन करने के लिए Getting started का पालन करें।

यह किसी लैपटॉप या क्लासरूम लैब के लिए एक त्वरित शुरुआत है, प्रोडक्शन डिप्लॉयमेंट नहीं: इसमें सर्वविदित डिफ़ॉल्ट पासवर्ड और एक स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग होता है। अन्य लोगों द्वारा इसका उपयोग करने से पहले, Deploying into production का पालन करें। किसी मौजूदा इंस्टॉलेशन को 4.0 पर ले जाने के लिए, Upgrading देखें।

पूर्व-निर्मित इमेजें Docker Hub पर owasp/security-shepherd के रूप में प्रकाशित की जाती हैं। Verifying the images टैग्स को समझाता है और बताता है कि किसी इमेज का SBOM और provenance कैसे जाँचें।

3.1 वर्चुअल मशीन और मैन्युअल इंस्टॉलेशन पैक अभी भी releases page पर उपलब्ध हैं, और wiki उनका वर्णन करता है।

Security Shepherd का उपयोग किस लिए किया जा सकता है?

Security Shepherd का उपयोग निम्न रूप में किया जा सकता है;

• सभी एप्लिकेशन सुरक्षा के लिए एक शिक्षण उपकरण
• वेब एप्लिकेशन पेन टेस्टिंग प्रशिक्षण प्लेटफ़ॉर्म
• मोबाइल एप्लिकेशन पेन टेस्टिंग प्रशिक्षण
• AppSec तकनीकों का अभ्यास करने के लिए सुरक्षित प्लेग्राउंड
• वास्तविक सुरक्षा जोखिम उदाहरणों को प्रदर्शित करने के लिए प्लेटफ़ॉर्म

Security Shepherd क्यों चुनें?

OWASP Project Inventory में बहुत सारे जानबूझकर कमज़ोर बनाए गए एप्लिकेशन उपलब्ध हैं, और इंटरनेट पर तो और भी अधिक हैं। आपको Security Shepherd का उपयोग क्यों करना चाहिए? यहाँ कुछ कारण दिए गए हैं;

• व्यापक विषय कवरेज
  Shepherd में एक ही प्रोजेक्ट के अंतर्गत Web और Mobile एप्लिकेशन सुरक्षा के पूरे स्पेक्ट्रम में साठ से अधिक स्तर शामिल हैं।
• सहज सीखने की प्रक्रिया
  Shepherd उन उपयोगकर्ताओं के लिए बिल्कुल उपयुक्त है जो सुरक्षा के लिए पूरी तरह नए हैं, क्योंकि स्तरों की कठिनाई एक सुखद गति से बढ़ती है।
• सरल भाषा में व्याख्या
  जब Shepherd में प्रत्येक सुरक्षा अवधारणा पहली बार प्रस्तुत की जाती है, तो यह सरल भाषा में की जाती है ताकि कोई भी (शुरुआती लोग भी) इसे समझ सके।
• वास्तविक दुनिया के उदाहरण
  Shepherd में सुरक्षा जोखिम वास्तविक कमज़ोरियाँ हैं जिनके शोषण प्रभाव को एप्लिकेशन, उपयोगकर्ताओं और पर्यावरण की सुरक्षा के लिए कम कर दिया गया है। यहाँ कोई सिम्युलेटेड सुरक्षा जोखिम नहीं हैं जिन्हें पास करने के लिए किसी अपेक्षित, विशिष्ट हमले के तरीके की आवश्यकता हो। Shepherd पर उपयोग किए जाने वाले हमले के तरीके वैसे ही व्यवहार करते हैं जैसे वे वास्तविक दुनिया में करते हैं।
• स्केलेबिलिटी
  Shepherd का उपयोग एकल उपयोगकर्ता द्वारा स्थानीय रूप से किया जा सकता है या बड़ी संख्या में उपयोगकर्ताओं के लिए आसानी से सर्वर के रूप में किया जा सकता है।
• अत्यधिक अनुकूलन योग्य
  Shepherd व्यवस्थापकों को यह सेट करने की सुविधा देता है कि उनके उपयोगकर्ताओं के लिए कौन से स्तर उपलब्ध हैं और उन्हें किस तरह प्रस्तुत किया जाता है (Open, CTF और Tournament Layouts)
• कक्षाओं के लिए उत्तम
  Shepherd अपने खिलाड़ियों को उपयोगकर्ता-विशिष्ट समाधान कुंजियाँ देता है ताकि छात्र कुंजियाँ साझा न कर सकें, बल्कि उन्हें स्तर पूरा करने के लिए आवश्यक चरणों से गुज़रना पड़े।
• स्कोरबोर्ड
  Security Shepherd में एक प्रतिस्पर्धी सीखने का वातावरण प्रोत्साहित करने के लिए एक कॉन्फ़िगर करने योग्य स्कोरबोर्ड है। जो उपयोगकर्ता स्तरों को पहले, दूसरे और तीसरे स्थान पर पूरा करते हैं, उन्हें अपनी स्कोरबोर्ड प्रविष्टि पर पदक और बोनस अंक मिलते हैं ताकि स्कोरबोर्ड पर मज़ा बना रहे।
• उपयोगकर्ता प्रबंधन
  Security Shepherd के व्यवस्थापक व्यवस्थापक उपयोगकर्ता प्रबंधन नियंत्रणों के साथ उपयोगकर्ता बना सकते हैं, व्यवस्थापक बना सकते हैं, निलंबित कर सकते हैं, निलंबन हटा सकते हैं, बोनस अंक जोड़ सकते हैं, या उपयोगकर्ताओं के खातों से दंड अंक हटा सकते हैं। व्यवस्थापक अपने छात्रों को विशिष्ट कक्षा समूहों में भी विभाजित कर सकते हैं। व्यवस्थापक यह देख सकते हैं कि किसी कक्षा ने कितनी प्रगति की है ताकि संघर्ष कर रहे प्रतिभागियों की पहचान की जा सके। एक व्यवस्थापक सार्वजनिक पंजीकरण बंद कर सकता है और यदि वे निजी अनुभव चाहते हैं तो मैन्युअल रूप से उपयोगकर्ता बना सकते हैं।
• मज़बूत सेवा
  Shepherd का उपयोग OWASP Global CTF और OWASP LATAM Tour CTF 2015 जैसे ऑनलाइन CTF चलाने के लिए किया गया है, दोनों ने 200 से अधिक सक्रिय उपयोगकर्ताओं को पार किया और नियोजित रखरखाव अवधियों को छोड़कर बिना किसी डाउनटाइम के चले।
• कॉन्फ़िगर करने योग्य फ़ीडबैक
  एक व्यवस्थापक एक फ़ीडबैक प्रक्रिया सक्षम कर सकता है, जिसे किसी स्तर को पूर्ण के रूप में चिह्नित करने से पहले उपयोगकर्ताओं द्वारा पूरा किया जाना चाहिए। इसका उपयोग प्रस्तुत फ़ीडबैक के आधार पर प्रोजेक्ट सुधारों को सुविधाजनक बनाने और सिस्टम व्यवस्थापकों द्वारा अपने छात्रों से "Reports of Understanding" एकत्र करने दोनों के लिए किया जाता है।
• सूक्ष्म लॉगिंग
  Security Shepherd द्वारा रिपोर्ट किए गए लॉग अत्यधिक विस्तृत और वर्णनात्मक होते हैं, लेकिन आँखों को चौंधियाने वाले नहीं। यदि कोई उपयोगकर्ता दुर्व्यवहार कर रहा है, तो आपको पता चल जाएगा।