owasp/cumulusCumulus. 클라우드 위협 모델링.
Cumulus는 클라우드 및 DevOps 팀에 보안을 도입하는 쉬운 방법입니다.
카드 게임 Elevation of Privilege의 변형으로, 게임화를 통해 시스템의 위협 모델링을 수행한다는 아이디어를 따릅니다. 이 가볍고 진입 장벽이 낮은 접근 방식은 DevOps 또는 클라우드 프로젝트의 위협을 찾는 데 도움을 주고, 개발자에게 보안 중심의 사고방식을 가르칩니다.
최신 릴리스는 여기에서 확인할 수 있습니다.
진지한 게임을 통한 위협 모델링 아이디어는 Adam Shostack의 카드 게임 Elevation of Privilege로 거슬러 올라갑니다. 기본 아이디어는 개발자들을 한 테이블에 모이게 하고 자신들의 시스템 보안에 대해 논의하도록 하는 것입니다. 이를 위해 카드 게임이 위협 카탈로그를 안내하는 역할을 합니다. 진입 장벽이 낮고 애자일 개발 프로세스에 자연스럽게 내재될 수 있도록 설계되었습니다.
원래 게임은 일반적인 보안을 다루고, 또 다른 변형인 OWASP Foundation의 Cornucopia는 (웹) 애플리케이션 보안을 특히 겨냥하는 반면, 우리는 클라우드 환경에서 일하는 DevOps 팀의 특수한 요구가 빠져 있다고 느꼈습니다. Cumulus는 이 공백을 채우고자 클라우드 시스템에 대한 위협을 담은 맞춤형 카드 덱을 제공합니다.
위협은 다음과 같은 카테고리로 분류됩니다(이 게임에서는 슈트이기도 합니다):
이 게임은 Elevation of Privilege나 Cornucopia를 대체하려는 것이 아닙니다. 오히려 현대 소프트웨어 개발 프로젝트의 다양한 측면을 반영하는 위협 모델링 카드 덱 삼부작의 일부로 보아야 합니다.
Cumulus는 스페이드와 유사한 트릭 테이킹 카드 게임입니다.
목표는 트릭을 가져가거나 위협을 찾아 최대한 많은 점수를 모으는 것입니다. 게임이 끝났을 때 가장 많은 점수를 얻은 플레이어가 승자입니다.
게임 준비로 아키텍처 개요가 생성됩니다. 이상적으로는 데이터 흐름 다이어그램 형태이지만, 결국 플레이어들이 이해할 수 있는 개요라면 무엇이든 괜찮습니다. 추가로, 플레이어들은 시작 슈트, 즉 위협 카테고리에 합의합니다.
플레이어들 사이에 카드를 나눠준 후 게임이 시작됩니다. 첫 딜러는 시작 슈트에서 가장 낮은 카드를 가진 플레이어입니다. 딜러는 시작 슈트의 카드를 냅니다. 다른 각 플레이어는 그 라운드 동안 슈트를 따라야 합니다. 그것이 불가능하면, 플레이어는 손에 있는 아무 카드나 선택할 수 있습니다. 라운드의 승자는 트릭을 가져가며, 라운드의 슈트에서 가장 높은 값의 카드를 낸 사람 또는 가장 높은 트럼프 카드를 낸 사람입니다.
트럼프는 Access & Secrets 슈트의 카드입니다.
그런 다음 승자는 점수를 받고, 새 라운드를 시작하며 새로운 슈트를 선택합니다. 새 카드가 나올 때마다, 모든 플레이어는 현재 카드에 언급된 특정 위협이 어떤 형태로든 자신들의 시스템에 적용되는지 생각해 보도록 요청받습니다. 위협이 발견되면(그리고 팀이 이것이 살펴볼 주제라고 동의하면), 그것이 기록되고 발견자는 추가 점수를 받습니다.
진지한 게임을 통한 위협 모델링이라는 독창적이고 훌륭한 아이디어는 당시 Microsoft에서 일하던 Adam Shostack으로 거슬러 올라갑니다. 그는 Cumulus의 청사진이 된 게임 Elevation of Privilege를 고안했습니다.
Elevation of Privilege의 위협 모델링 접근 방식을 따르는 또 다른 훌륭한 게임은 OWASP Foundation이 개발한 Cornucopia입니다.
두 카드 게임 모두 개발 팀이 구축 중인 시스템의 보안을 강화하도록 돕는 훌륭한 도구입니다.
그러나 우리는 특히 DevOps/클라우드 프로젝트를 겨냥한 위협 모델링 카드 게임의 필요성을 느꼈습니다. 이 아이디어에서 Cumulus가 탄생했습니다.
원격 또는 지리적으로 분산된 팀을 위한 이 카드 게임(그리고 Elevation of Privilege와 Cornucopia)의 온라인 버전이 존재합니다. 이것은 쉽게 자체 호스팅할 수 있습니다.
다음에서 찾을 수 있습니다:
https://github.com/tng/elevation-of-privilege
또는 Cumulus는 copi.owasp.org에서 플레이할 수 있습니다. 릴리스 노트를 참조하세요. Johan Sydseter에게 감사드립니다.
인쇄된 카드는 CyberSecGames에서 구할 수 있습니다.
카드 덱에 대한 기여는 매우 환영합니다. 결국, 이 카드 덱은 커뮤니티 프로젝트를 목표로 합니다.
위협 문구에 대한 변경은 cards.tex에 대한 풀 리퀘스트로 환영합니다.
카드 덱은 유의적 버전 관리를 따릅니다. 버전 변경의 의미:
카드 게임(위협 문구 및 릴리스된 PDF 파일 포함)은 CC-BY-4.0에 따라 배포됩니다. 이 게임을 배포할 때 TNG Technology Consulting을 언급해 주시면 감사하겠습니다.
모든 유틸 파일(셸 스크립트, 레이아웃용 LaTeX 코드)은 Apache-2.0에 따라 배포됩니다.
