control "Guards" {
  description = "Trained guards patrol tower"
  risk_reduction = 75
}

데이터 흐름 다이어그램을 자동으로 PNG로 변환할 수 있도록 구성하는 방법에 대한 자세한 내용은 [데이터 흐름 다이어그램](#data-flow-diagram)을 참조하세요.

[OWASP Proactive Controls](https://owasp.org/www-project-proactive-controls/) 및 [AWS Security Checklist](https://d1.awsstatic.com/whitepapers/Security/AWS_Security_Checklist.pdf)에 대한 사전 정의된 제어 라이브러리를 참조하는 방법의 예는 [examples/tm3.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm3.hcl)을 참조하세요. 또한 [MITRE ATT&CK Controls](https://attack.mitre.org/mitigations/enterprise/)가 [여기](https://github.com/threatcl/threatcl/blob/HEAD/examples/MITRE_ATTACK_controls.hcl)에 있습니다.

외부 위협 모델을 자신의 위협 모델에 포함시켜 모든 정보를 참조하고 사용할 수도 있습니다. 예시는 [examples/including-example/corp-app.hcl](https://github.com/threatcl/threatcl/blob/HEAD/examples/including-example/corp-app.hcl)을 참조하세요.

사양의 전체 설명을 보려면 [여기](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl)를 참조하거나 다음을 실행하세요:```bash
threatcl generate boilerplate

## Docker로 실행하기```bash
docker run --rm -it ghcr.io/threatcl/threatcl:latest

컨테이너 이미지를 확인하세요 (태그는 자동으로 다이제스트로 해석됩니다):```bash
gh attestation verify oci://ghcr.io/threatcl/threatcl:<version> --repo threatcl/threatcl

전체 공급망 상태에 대해서는 [docs/SLSA.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/SLSA.md)를 참조하세요.

## GitHub Actions로 실행하기

`threatcl`은 https://github.com/threatcl/threatcl-action을 사용하여 GitHub 리포지토리에 직접 통합할 수 있습니다. 이는 위협 모델을 관리하는 이상적인 방법 중 하나이며, 버전 관리 시스템에 통합하려는 목표를 달성하는 데 도움이 됩니다.

## 소스에서 빌드하기

1. 이 리포지토리를 클론합니다.
2. `threatcl` 디렉토리로 이동합니다.
3. `make bootstrap`
4. `make build`

`threatcl`에 기여하는 방법에 대한 자세한 내용은 [CHANGELOG.md](https://github.com/threatcl/threatcl/blob/HEAD/CHANGELOG.md)를 참조하세요.

## 사용법

모든 하위 명령어에 대한 도움말은 `-h` 플래그를 사용하세요.```bash
$ threatcl
Usage: threatcl [--version] [--help] <command> [<args>]

Available commands are:
    cloud        Interact with ThreatCL Cloud services
    dashboard    Generate markdown files from existing HCL threatmodel file(s)
    dfd          Generate Data Flow Diagram PNG or DOT files from existing HCL threatmodel file(s)
    export       Export threat models into other formats
    generate     Generate an HCL Threat Model
    list         List Threatmodels found in HCL file(s)
    mcp          Model Context Protocol (MCP) server for threatcl
    mermaid      Output raw mermaid source from 'mermaid' blocks in existing HCL threatmodel file(s)
    query        Execute GraphQL queries against threat model data
    server       Start a GraphQL API server for threat models
    terraform    Parse output from 'terraform show -json'
    validate     Validate existing HCL Threatmodel file(s)
    view         View existing HCL Threatmodel file(s)

이러한 속성을 수정하는 경우, 다른 작업을 위해 설정 파일을 제공해야 함을 기억해야 합니다. 이는 유효성 검사 또는 대시보드 생성에 영향을 줄 수 있습니다.

## Cloud 명령어

자세한 내용은 https://threatcl.dev/cloud/overview/에서 `cloud` 하위 명령어에 대해 읽어보세요.

## 목록 및 보기

`threatcl list` 및 `threatcl view` 명령어는 `threatcl` 사양 HCL 파일의 데이터를 나열하고 확인하는 데 사용할 수 있습니다.```bash
$ threatcl list examples/*
#  File              Threatmodel      Author
1  examples/tm1.hcl  Tower of London  @xntrik
2  examples/tm1.hcl  Fort Knox        @xntrik
3  examples/tm2.hcl  Modelly model    @xntrik

### 불변 조건

`threatcl validate`는 또한 조직 전체의 불변 조건을 강제할 수 있습니다 — 기계 검사 규칙, 예를 들어 "공개 엔드포인트는 인증되지 않아야 한다" 또는 "모든 인터넷 연결 기능은 감사 로깅을 문서화해야 한다" — 검증된 모든 위협 모델에 대해:```bash
$ threatcl validate -invariants=invariants.hcl ./models/
Validated 4 threatmodels in 3 files
Invariant violation [error] 'threats_have_implemented_controls': threat 'Credential theft' in threatmodel 'Payments' (models/payments.hcl): Every threat must have at least one implemented control
Checked 3 invariants against 4 threatmodels: 1 errors, 0 warnings, 1 exemptions

## 생성

`threatcl generate` 명령어는 일반적인 `boilerplate` `threatcl` 스펙 HCL 파일을 출력하거나, 대화형으로 사용자에게 질문을 한 후 `threatcl` 스펙 HCL 파일을 출력하는 데 사용됩니다.

### 대화형 생성

다음 예시를 참조하십시오:```bash
threatcl generate interactive

이렇게 하면 기본 HCL 위협 모델이 포함된 편집기가 열립니다. 생성 후 모델의 유효성을 검사하려면 `-validate` 플래그를 사용하세요.

## MCP

`threatcl mcp` 명령어는 로컬 [MCP](https://modelcontextprotocol.io/introduction) 서버를 노출하여 MCP 호스트(예: [Claude Desktop](https://claude.ai/download), [Cursor](https://www.cursor.com/) 등 AI/LLM 애플리케이션 또는 MCP를 지원하는 다른 애플리케이션)를 통해 threatcl hcl 파일과 상호작용할 수 있게 해줍니다.

이 명령어는 `-dir=<path>`라는 선택적 인수를 하나 받으며, 이 인수를 사용하면 추가 MCP 도구가 해당 경로 내의 파일과 상호작용할 수 있습니다. 이 설정이 없으면 MCP 도구는 문자열과 상호작용할 수 있지만, 기본 파일 시스템과 상호작용하려면 MCP 호스트 내의 다른 메커니즘에 의존하게 됩니다.

이 기능은 현재 상당히 베타 단계라고 말할 수 있습니다.

## LSP (Language Server)

`threatcl lsp` 명령어는 stdio를 통해 [Language Server Protocol](https://microsoft.github.io/language-server-protocol/) 서버를 실행하여, LSP를 지원하는 편집기에 threatcl HCL 위협 모델에 대한 실시간 진단, 자동 완성, 호버, 문서 기호 및 서식 지정을 제공합니다.

이 명령어는 수동으로 실행하는 것이 아니라 편집기의 LSP 클라이언트에 의해 실행됩니다. threatcl 파일은 Terraform 및 기타 HCL 방언과 `.hcl` 확장자를 공유하므로, `*.tm.hcl`에 매칭하거나 (클라이언트의 범위를 위협 모델 워크스페이스로 지정)하면 Terraform 언어 서버와 충돌하는 것을 피할 수 있습니다.

편집기 설정(Neovim, Helix, VS Code, Zed) 및 현재 제한 사항에 대해서는 [docs/lsp.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/lsp.md)를 참조하세요.

## Server (GraphQL API)

`threatcl server` 명령어는 GraphQL API 서버를 시작하여 위협 모델을 HTTP를 통해 노출하여 프로그래밍 방식의 쿼리 및 통합을 가능하게 합니다.

### Basic Usage```bash
# Start the server
$ threatcl server -dir ./examples

# With file watching for auto-reload
$ threatcl server -dir ./examples -watch

# Custom port
$ threatcl server -dir ./examples -port 3000

### 문서

완전한 API 문서, 스키마 참조, 고급 쿼리 및 통합 예제는 다음을 참조하세요:
- **전체 API 문서**: [docs/graphql-api.md](https://github.com/threatcl/threatcl/blob/HEAD/docs/graphql-api.md)
- **쿼리 예제**: [examples/graphql-queries.md](https://github.com/threatcl/threatcl/blob/HEAD/examples/graphql-queries.md)

## 쿼리 (GraphQL CLI)

`threatcl query` 명령어는 서버를 시작하지 않고 명령줄에서 직접 GraphQL 쿼리를 실행합니다. 이는 자동화, CI/CD 파이프라인 및 쉘 스크립팅에 이상적입니다.

### 기본 사용법```bash
# Get statistics
$ threatcl query -dir ./examples -query '{ stats { totalThreats } }'

# Query from file
$ threatcl query -dir ./examples -file queries/get-stats.graphql

# Use in scripts
$ THREATS=$(threatcl query -dir ./examples \
    -query '{ stats { totalThreats } }' \
    -output compact | jq -r '.data.stats.totalThreats')
$ echo "Found $THREATS threats"

### CI/CD 예제```bash
#!/bin/bash
# Check if all controls are implemented before deployment

UNIMPLEMENTED=$(threatcl query -dir ./threatmodels \
  -query '{ stats { totalControls implementedControls } }' \
  -output compact | jq -r '.data.stats.totalControls - .data.stats.implementedControls')

if [ "$UNIMPLEMENTED" -gt 0 ]; then
  echo "ERROR: $UNIMPLEMENTED controls are not yet implemented"
  exit 1
fi

echo "All controls implemented, proceeding with deployment"

### 사용자 정의 마크다운 템플릿

`threatcl dashboard` 명령은 선택적 플래그를 사용하여 사용자 정의 템플릿을 지정할 수도 있습니다 (Golang의 [text/template](https://pkg.go.dev/text/template) 참조).

대시보드 템플릿 파일을 지정하려면 `-dashboard-template` 플래그를 사용하세요. 예제는 [dashboard-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/dashboard-template.tpl)을 참조하세요.

위협 모델 템플릿 파일을 지정하려면 `-threatmodel-template` 플래그를 사용하세요. 예제는 [threatmodel-template.tpl](https://github.com/threatcl/threatcl/blob/HEAD/examples/threatmodel-template.tpl)을 참조하세요.

### 대시보드 인덱스 파일의 사용자 정의 파일명

`threatcl dashboard` 명령은 선택적 플래그를 사용하여 생성된 "index" 대시보드 파일의 파일명을 지정할 수도 있습니다. 기본적으로 이 파일은 `dashboard.md`입니다. 확장자 없이 `-dashboard-filename` 플래그를 사용하여 이 파일명을 변경하세요.

## 데이터 흐름 다이어그램

[spec](https://github.com/threatcl/threatcl/blob/HEAD/spec.hcl)에 따라 `threatmodel`은 `data_flow_diagram_v2` 블록을 포함할 수 있습니다. 간단한 DFD의 예제는 [여기](https://github.com/threatcl/threatcl/blob/HEAD/examples/tm2.hcl)에서 확인할 수 있습니다. 이전의 단일 사용 블록 `data_flow_diagram`은 언젠가 더 이상 사용되지 않을 예정이므로, `data_flow_diagram_v2` 명명된 블록을 사용하는 것이 좋습니다. 그러면 여러 개의 관련 DFD를 가질 수 있습니다.

`threatcl dfd` 명령은 `threatcl` 사양 HCL 파일을 받아 여러 png 파일을 생성하고 선택한 폴더에 저장합니다.

HCL 파일에 `data_flow_diagram` 또는 `data_flow_diagram_v2` 블록이 있는 `threatmodel` 블록이 포함되지 않으면 아무것도 출력되지 않습니다.

명령 자체는 Dashboard 명령과 매우 유사합니다.```bash
$ threatcl dfd -overwrite -outdir testout examples/*
Successfully created 'testout/tm2-modellymodel.png'

이것은 [mermaid-cli](https://github.com/mermaid-js/mermaid-cli)와 같은 렌더러로 파이프하기 쉽게 만듭니다:```bash
$ threatcl mermaid model.hcl | mmdc -o diagram.svg -i -

## Terraform

`threatcl terraform` 명령은 `terraform show -json` [문서](https://www.terraform.io/docs/cli/commands/show.html)의 출력에서 플랜 파일 또는 활성 상태 파일의 데이터 리소스를 추출하고, 이를 초안 `information_asset` 블록으로 변환하여 `threatcl` 파일에 포함시킬 수 있습니다.

만약 기존 상태가 있는 폴더에 있다면, 다음을 실행할 수 있습니다:```bash
terraform show -json | threatcl terraform -stdin

또한 Terraform으로 아직 적용되지 않은 계획 파일에서 유사한 출력을 다음을 실행하여 확인할 수 있습니다:```bash
terraform show -json <plan-file> | threatcl terraform -stdin

`-add-to-existing` 플래그를 사용하면, 소스 파일에 여러 위협 모델이 있을 경우 특정 위협 모델을 지정하기 위해 `-tm-name=<string>`을 함께 지정할 수 있습니다. 또한 `-default-classification=Confidential` 플래그를 사용하여 기본 분류를 적용할 수 있습니다.

이 명령들은 파일을 입력으로 받을 수도 있습니다. 이 경우에는 `-stdin` 플래그를 생략합니다.

`threatcl`이 인식하는 terraform 리소스는 [pkg/terraform/terraform.go](https://github.com/threatcl/threatcl/blob/HEAD/pkg/terraform/terraform.go)에 하드코딩되어 있습니다. `threatcl terraform` 명령이 거기에 없는 다른 `information_asset` 리소스를 출력하도록 하려면 `-tf-collection=<json file>` 플래그를 통해 사용자 정의 버전의 json을 제공할 수 있습니다.