Cumulus は、クラウドおよび devOps チームにセキュリティをもたらす簡単な方法です。
Elevation of Privilege というカードゲームの一種として、ゲーミフィケーションによってシステムの脅威モデリングを行うというアイデアに従っています。 この軽量で参入障壁の低いアプローチは、devOps またはクラウドプロジェクトの脅威を見つけるのに役立ち、開発者にセキュリティ指向の考え方を教えます。
最新のリリースはこちらです。
シリアスゲームによる脅威モデリングのアイデアは、Adam Shostack によるカードゲーム Elevation of Privilege にまで遡ります。 基本的なアイデアは、開発者をテーブルに集め、自分たちのシステムのセキュリティについて議論し始めてもらうことです。 そのために、カードゲームが脅威のカタログを通じたガイドとして機能します。 低い参入障壁と、アジャイル開発プロセスに自然に組み込めるように設計されています。
元のゲームがセキュリティ全般を扱い、もう一つの派生版である OWASP Foundation による Cornucopia が（Web）アプリケーションセキュリティを特にターゲットにしている一方で、クラウド環境で働く devOps チームの具体的なニーズが欠けていると私たちは感じていました。 Cumulus はこのギャップを埋めることを目指し、クラウドシステムに対する脅威を含む専用のカードデッキを提供します。
脅威は次のカテゴリに分類されます（このゲームではスートでもあります）。
このゲームは、Elevation of Privilege や Cornucopia を置き換えようとするものではありません。 むしろ、現代のソフトウェア開発プロジェクトのさまざまな側面を反映した、脅威モデリングカードデッキの三つ組の一部と見なすべきです。
Cumulus は、スペードに似たトリックテイキングカードゲームです。
目的は、トリックを取るか、脅威を見つけることで、できるだけ多くのポイントを集めることです。 ゲーム終了時に、最も多くのポイントを持っているプレイヤーが勝者です。
ゲームの準備として、アーキテクチャの概要を作成します。 理想的にはデータフロー図の形ですが、結局のところ、プレイヤーが理解できる概要であれば何でも構いません。 さらに、プレイヤーは開始スート（すなわち脅威カテゴリ）を合意します。
プレイヤーにカードを配った後、ゲームが始まります。 最初のディーラーは、開始スートの中で最も低いカードを持っているプレイヤーです。 ディーラーは開始スートのカードを出します。他の各プレイヤーは、そのラウンド中はスートに従わなければなりません。 それができない場合、そのプレイヤーは手持ちの任意のカードを選ぶことができます。 ラウンドの勝者は、そのラウンドのスートで最も価値の高いカード、または最も高い切り札を出したプレイヤーであり、トリックを獲得します。
切り札は アクセスとシークレット スートのカードです。
その後、勝者は1ポイントを受け取り、新しいラウンドを開始して新しいスートを選びます。 新しいカードがプレイされるたびに、全プレイヤーは、現在のカードに記載されている特定の脅威が自分たちのシステムに何らかの形で当てはまるかどうかを考えるよう求められます。 脅威が見つかった場合（そしてチームがそれが検討すべきトピックであると同意した場合）、それは書き留められ、発見者は追加ポイントを受け取ります。
シリアスゲームによる脅威モデリングという独創的で素晴らしいアイデアは、当時 Microsoft に勤めていた Adam Shostack に遡ります。 彼は、Cumulus の設計図となるゲーム Elevation of Privilege を考案しました。
Elevation of Privilege の脅威モデリングへのアプローチに続くもう一つの素晴らしいゲームは、OWASP Foundation によって開発された Cornucopia です。
どちらのカードゲームも、開発チームが構築中のシステムのセキュリティを向上させるのに役立つ優れたツールです。
しかし私たちは、特に devOps/クラウドプロジェクトを対象とした脅威モデリングカードゲームの必要性を感じていました。 このアイデアから Cumulus が生まれました。
このカードゲーム（および Elevation of Privilege と Cornucopia も）には、リモートや地理的に分散したチーム向けのオンラインバージョンがあります。 これは簡単にセルフホストできます。
以下で見つけることができます：
https://github.com/tng/elevation-of-privilege
あるいは、Cumulus は copi.owasp.org でプレイできます。リリースノート を参照してください。Johan Sydseter に感謝します。
カードデッキへのコントリビューションを大いに歓迎します。 結局のところ、このカードデッキはコミュニティプロジェクトとして意図されています。
脅威の表現の変更は、cards.tex へのプルリクエストとして歓迎します。
カードデッキはセマンティックバージョニングに従います。 バージョンの変更は次の意味を持ちます：
カードゲーム（脅威の表現と公開された PDF ファイルを含む）は CC-BY-4.0 の下で配布されています。 このゲームを配布する際には、TNG Technology Consulting への言及をいただけると大変ありがたいです。
すべてのユーティリティファイル（シェルスクリプト、レイアウト用の LaTeX コード）は Apache-2.0 の下で配布されています。
