pytm: Un framework Pythonico per il threat modeling

Introduzione

Il threat modeling tradizionale arriva troppo spesso in ritardo, o talvolta non arriva affatto. Inoltre, la creazione manuale di flussi di dati e report può richiedere moltissimo tempo. L'obiettivo di pytm è spostare il threat modeling a sinistra, rendendolo più automatizzato e orientato allo sviluppatore.

Funzionalità

In base al tuo input e alla definizione del design architetturale, pytm può generare automaticamente i seguenti elementi:

Data Flow Diagram (DFD)
Sequence Diagram
Minacce rilevanti per il tuo sistema

Requisiti

Linux/MacOS
Python 3.11+
Pacchetto Graphviz
Java (OpenJDK 10 o 11)
plantuml.jar

Per iniziare

Il file tm.py è un modello di esempio. Puoi eseguirlo per generare il report e i file immagine del diagramma a cui fa riferimento:

mkdir -p tm
./tm.py --report docs/basic_template.md | pandoc -f markdown -t html > tm/report.html
./tm.py --dfd | dot -Tpng -o tm/dfd.png
./tm.py --seq | java -Djava.awt.headless=true -jar $PLANTUML_PATH -tpng -pipe > tm/seq.png

C'è anche un Makefile di esempio che racchiude tutto questo in target che possono essere facilmente condivisi per più modelli. Se hai GNU make installato (disponibile di default sulle distribuzioni Linux ma non su OSX), esegui semplicemente:

make MODEL=the_name_of_your_model_minus_.py

Dovresti avere plantuml.jar nella stessa directory del tuo modello, oppure impostare PLANTUML_PATH.

Per evitare di installare tutte le dipendenze, come pandoc o Java, lo script può essere eseguito all'interno di un container:

# do this only once
export USE_DOCKER=true
make image

# call this after every change in your model
make

Per Iniziare - Variante Devbox

Per semplificare l'utilizzo di pytm, le dipendenze dell'host possono essere completamente isolate utilizzando Devbox. Questa è solitamente un'alternativa con un overhead inferiore e più conveniente rispetto all'approccio con container OCI.

Installa Devbox su Linux/MacOS: curl -fsSL https://get.jetify.com/devbox | bash
Installa Devbox su Windows/WSL
Aggiorna all'ultima versione di devbox: devbox version update
Imposta il tuo token di accesso GitHub nel file ~/.config/nix/nix.conf: access-tokens = github.com=YOUR_TOKEN_HERE
Crea un nuovo ambiente shell isolato che includa tutti gli strumenti e i pacchetti specificati nel file devbox.json del progetto: devbox shell
Visualizza il percorso completo dell'eseguibile Python che verrà utilizzato quando digiti semplicemente python nel tuo terminale usando il comando which python. L'output dovrebbe essere il seguente percorso: .devbox/nix/profile/default/bin/python
Verifica eseguendo il seguente comando, che dovrebbe generare un DFD come file PNG chiamato sample.png: ./tm.py --dfd | dot -Tpng -o sample.png
Esci dall'ambiente shell Devbox: exit

Per Iniziare - Variante AI

"Ma pensavo avessimo finito con questa cosa di 'scrivere codice'!" - questo è per quelli di noi che parlano troppo con gli assistenti AI: dai un'occhiata a https://github.com/izar/tm_skills per alcuni modi di aggiungere OWASP pytm al tuo assistente di programmazione (avrai comunque bisogno di un'installazione funzionante di pytm!).

Utilizzo

Tutti gli argomenti disponibili:

usage: tm.py [-h] [--debug] [--dfd] [--report REPORT] [--exclude EXCLUDE]
             [--seq] [--list] [--colormap] [--describe DESCRIBE]
             [--list-elements] [--json JSON] [--levels LEVELS [LEVELS ...]]
             [--stale_days STALE_DAYS]

options:
  -h, --help            show this help message and exit
  --debug               print debug messages
  --dfd                 output DFD
  --report REPORT       output report using the named template file (sample
                        template file is under docs/basic_template.md)
  --exclude EXCLUDE     specify threat IDs to be ignored
  --seq                 output sequential diagram
  --list                list all available threats
  --colormap            color the risk in the diagram
  --describe DESCRIBE   describe the properties available for a given element
  --list-elements       list all elements which can be part of a threat model
  --json JSON           output a JSON file
  --levels LEVELS [LEVELS ...]
                        Select levels to be drawn in the threat model (int
                        separated by comma).
  --stale_days STALE_DAYS
                        checks if the delta between the TM script and the code
                        described by it is bigger than the specified value in
                        days

L'argomento stale_days cerca di determinare quanto distano in giorni lo script del modello (che stai scrivendo) dal codice che implementa il sistema modellato. Idealmente, dovrebbero essere piuttosto vicini nella maggior parte dei casi di un sistema in sviluppo attivo. Puoi eseguirlo periodicamente per misurare il polso del tuo progetto e la 'freschezza' del tuo modello di minaccia.

Gli elementi attualmente disponibili sono: TM, Element, Server, ExternalEntity, Datastore, Actor, Process, Dataflow, Boundary, Lambda, LLM e Agent.

Le proprietà disponibili di un elemento possono essere elencate utilizzando --describe seguito dal nome di un elemento:

pytm

Più Popolari