OWASP Security Shepherd

L'OWASP Security Shepherd Project è una piattaforma di formazione sulla sicurezza delle applicazioni web e mobile. Security Shepherd è stato progettato per favorire e migliorare la consapevolezza della sicurezza tra una platea eterogenea di competenze. L'obiettivo di questo progetto è prendere i principianti dell'AppSec o gli ingegneri esperti e affinare le loro competenze nel penetration testing fino allo status di esperto di sicurezza.

Documentazione

La documentazione è disponibile su https://owasp.github.io/SecurityShepherd/: come giocare, come eseguire Security Shepherd e un evento, e come contribuire.

Avvio rapido

Controlla prima i prerequisiti. Poi compila e avvia Security Shepherd:

git clone https://github.com/OWASP/SecurityShepherd.git
cd SecurityShepherd
# Build the WAR and generate the database scripts the images need
mvn -Pdocker clean package -DskipTests
# Build the images and start the containers
docker compose up -d --build

Poi apri https://localhost e segui Getting started per configurare il database e accedere.

Questa è una guida rapida per un laptop o un laboratorio didattico, non un deployment di produzione: utilizza password predefinite ben note e un certificato autofirmato. Prima che altre persone lo utilizzino, segui Deploying into production. Per spostare un'installazione esistente alla 4.0, consulta Upgrading.

Le immagini precompilate sono pubblicate su Docker Hub come owasp/security-shepherd. Verifying the images spiega i tag e come verificare l'SBOM e la provenienza di un'immagine.

La macchina virtuale 3.1 e i pacchetti di installazione manuale sono ancora disponibili nella pagina delle release, e la wiki li descrive.

A cosa può servire Security Shepherd?

Security Shepherd può essere utilizzato come;

• Strumento didattico per tutta la sicurezza delle applicazioni
• Piattaforma di formazione per il pen testing di applicazioni web
• Formazione per il pen testing di applicazioni mobile
• Ambiente di prova sicuro per esercitarsi con le tecniche AppSec
• Piattaforma per dimostrare esempi di rischi di sicurezza reali

Perché scegliere Security Shepherd?

Ci sono molte applicazioni volutamente vulnerabili disponibili nell'OWASP Project Inventory, e ancora di più su internet. Perché dovresti usare Security Shepherd? Ecco alcune ragioni;

• Ampia copertura degli argomenti
  Shepherd include oltre sessanta livelli che coprono l'intero spettro della sicurezza delle applicazioni Web e Mobile all'interno di un unico progetto.
• Curva di apprendimento graduale
  Shepherd è perfetto per utenti completamente nuovi alla sicurezza, con livelli che aumentano di difficoltà a un ritmo piacevole.
• Spiegazioni alla portata di tutti
  Quando ogni concetto di sicurezza viene presentato per la prima volta in Shepherd, lo è in termini semplici, così che chiunque (anche i principianti) possa assimilarli.
• Esempi reali
  I rischi di sicurezza in Shepherd sono vulnerabilità reali il cui impatto di exploit è stato attenuato per proteggere l'applicazione, gli utenti e l'ambiente. Non ci sono rischi di sicurezza simulati che richiedono uno specifico vettore di attacco previsto per superare un livello. I vettori di attacco, quando usati su Shepherd, si comportano come farebbero nel mondo reale.
• Scalabilità
  Shepherd può essere usato localmente da un singolo utente o facilmente come server per un elevato numero di utenti.
• Altamente personalizzabile
  Shepherd consente agli amministratori di impostare quali livelli sono disponibili per i loro utenti e in che modo vengono presentati (Layout Open, CTF e Tournament)
• Perfetto per le aule
  Shepherd fornisce ai suoi giocatori chiavi di soluzione specifiche per utente per impedire agli studenti di condividere le chiavi, anziché seguire i passaggi necessari per completare un livello.
• Classifica
  Security Shepherd dispone di una classifica configurabile per incoraggiare un ambiente di apprendimento competitivo. Gli utenti che completano i livelli per primi, secondi e terzi ricevono medaglie nella loro voce in classifica e punti bonus per mantenere la classifica divertente.
• Gestione utenti
  Gli amministratori di Security Shepherd possono creare utenti, creare amministratori, sospendere, riattivare, aggiungere punti bonus o togliere punti di penalità dagli account degli utenti con i controlli di gestione utenti dell'amministratore. Gli amministratori possono anche suddividere i propri studenti in gruppi classe specifici. Gli amministratori possono visualizzare i progressi compiuti da una classe per identificare i partecipanti in difficoltà. Un amministratore può persino chiudere la registrazione pubblica e creare manualmente gli utenti se desidera un'esperienza privata.
• Servizio robusto
  Shepherd è stato utilizzato per gestire CTF online come l'OWASP Global CTF e l'OWASP LATAM Tour CTF 2015, entrambi con oltre 200 utenti attivi e senza tempi di inattività, a parte i periodi di manutenzione pianificati.
• Feedback configurabile
  Un amministratore può abilitare un processo di feedback, che deve essere completato dagli utenti prima che un livello venga contrassegnato come completato. Questo è usato sia per facilitare i miglioramenti del progetto basati sul feedback inviato sia per consentire agli amministratori di sistema di raccogliere "Reports of Understanding" dai propri studenti.
• Logging granulare
  I log riportati da Security Shepherd sono altamente dettagliati e descrittivi, ma non accecanti. Se un utente si comporta male, lo saprai.