Configura una variabile d'ambiente DATA_DIR come punto di mount per i file del dojo. Su *nix/mac modifica .bash_profile come segue

export DATA_DIR="/YOUR_DATA_DIR"

Perché un altro sito di formazione sulla sicurezza?

Sebbene i siti open source per insegnare concetti di sicurezza applicativa non siano nuovi, il pubblico target di questi siti è stato quello dei penetration tester e degli hacker etici. Il Secure Coding Dojo è pensato principalmente come piattaforma di erogazione per sviluppatori, ed ecco perché:

• Si integra con Slack per l'autenticazione
• Permette di raggruppare i partecipanti in base ai loro team di sviluppo
• Permette ai team di tracciare i progressi e competere tra loro
• Ogni lezione è costruita come una coppia attacco/difesa. Gli sviluppatori possono osservare le debolezze software conducendo l'attacco e dopo aver risolto la sfida imparano le difese software associate (blocchi di codice)
• Le lezioni predefinite si basano sugli errori software più pericolosi di MITRE (noti anche come SANS 25), quindi l'attenzione è sugli errori software piuttosto che sulle tecniche di attacco
• Le sfide di hacking predefinite sono create per il livello base e mantengono coinvolti gli sviluppatori
  • In altri siti di formazione o CTF, le sfide hanno un aspetto enigmistico che va bene per il pubblico dei penetration tester, ma può far perdere interesse ad alcuni sviluppatori. Nel Secure Coding Dojo l'attenzione è sulla dimostrazione della vulnerabilità.
  • Ci sono suggerimenti che aiutano gli sviluppatori mentre sfruttano il problema, per evitare che si blocchino.

SecureCodingDojo e requisiti di conformità

Sebbene non garantiamo la conformità, la formazione potrebbe essere utilizzata per soddisfare requisiti normativi come PCI 6.5.a. Vedi il documento del curriculum di Insecure.Inc sulla mappatura con SANS 25 / OWASP Top 10 / PCI 6.5

Prerequisiti per lo sviluppo

Portale di formazione

• Installa VS Code
• node/npm (sviluppato con v10)
• OPZIONALE: server MySQL + MySQL Workbench (sviluppato con MySQL 5.7)

Insecure.Inc

• Sviluppato in Java EE
• Ultima versione di Eclipse Java EE (sviluppato con Neon) + Java 1.8 + tomcat 8 per l'app di formazione Insecure.Inc

Istruzioni per la configurazione dell'ambiente di sviluppo

Portale di formazione

• Maggiori dettagli sul wiki

Insecure.inc

• Maggiori dettagli sul wiki

Compilazione

Portale di formazione

• Esegui lo script ./buildTrainingPortal.sh. Creerà un'immagine Docker e un pacchetto AWS Elastic Beanstalk

Insecure.Inc

• Fai clic con il tasto destro sul progetto per esportarlo come file .war e inseriscilo nella cartella /webapps della tua installazione di Tomcat 8.

Ospitare Insecure.Inc

Consulta il wiki.

Distribuire il portale di formazione

Maggiori informazioni sul wiki.

Istruzioni per la configurazione di Slack

Dovrai creare un'app Slack per l'autenticazione.

• Vai su https://api.slack.com/
• Premi "Start Building" e segui le istruzioni per creare un'app Slack nel tuo team di sviluppo Slack
• Una volta creata l'app, potrai ottenere le credenziali dell'app per configurare il tuo config.json
• Configura gli URL di reindirizzamento in OAuth & Permissions. Ad esempio, per una configurazione localhost, l'URL di reindirizzamento sarebbe: http://localhost:8081/public/slack/callback

Istruzioni per la configurazione di Google

L'autenticazione Google può essere configurata anche nel config.json. Avrai bisogno di un account sviluppatore Google e di ottenere le credenziali OAuth dalla console API di Google: https://console.developers.google.com

Nella stessa console configurerai il tuo dominio e gli URI di reindirizzamento autorizzati. Ad esempio, per una configurazione localhost, l'URL di reindirizzamento sarebbe: http://localhost:8081/public/google/callback

Istruzioni per la configurazione dell'autenticazione locale

Per team piccoli o immagini preconfigurate, l'autenticazione tramite Slack o Google potrebbe non essere un'opzione. In questo scenario puoi configurare l'autenticazione utilizzando un file flat locale.

Consulta il wiki per maggiori informazioni.

• Copia localUsers.json.sample in localUsers.json
• Aggiungi la riga in config.json che specifica localUsersPath
• Ci sono diverse limitazioni con l'autenticazione locale, come la mancanza di blocco dell'account, scadenza della password, ecc.

Istruzioni per la configurazione del DB

Se non configuri un DB, il portale di formazione utilizzerà un database SQLite locale

Puoi anche installare MySQL e creare un DB con le relative credenziali. Prendi nota del nome utente e della password: ti serviranno in seguito.

Seed delle chiavi di crittografia e variabili d'ambiente

Dovrai impostare le chiavi di crittografia come variabili d'ambiente del sistema operativo. Su *nix/mac modifica .bash_profile come segue

Quanto segue serve per impedire ai partecipanti di generare i propri codici sfida.

Estendere il Secure Coding Dojo

Puoi aggiungere nuove lezioni seguendo il modello di quelle esistenti.

Sfide

Le sfide sono definite in ./trainingportal/static/lessons Il file definitions.json punta alla corrispondente descrizione della sfida in html, al link di gioco e ai corrispondenti blocchi di codice tramite ID blocco di codice. Segui gli esempi già definiti per crearne uno nuovo.

Blocchi di codice

I blocchi di codice sono definiti in ./trainingportal/static/codeBlocks. Questa cartella ha una struttura simile: un json di definizione e una serie di file html per ogni sfida.