owasp/cumulusCumulus. 클라우드 위협 모델링.
Cumulus는 클라우드 및 devOps 팀에 보안을 도입하는 쉬운 방법입니다.
카드 게임 Elevation of Privilege의 변형으로, 게임화를 통해 시스템을 위협 모델링하는 아이디어를 따릅니다. 이 가볍고 진입 장벽이 낮은 접근 방식은 devOps 또는 클라우드 프로젝트의 위협을 찾는 데 도움이 되며 개발자에게 보안 지향적인 사고방식을 가르쳐 줍니다.
최신 릴리스는 여기에서 찾을 수 있습니다.
시리어스 게임을 통한 위협 모델링의 아이디어는 Adam Shostack의 카드 게임 Elevation of Privilege에서 비롯되었습니다. 기본 아이디어는 개발자들을 한자리에 모아 그들의 시스템 보안에 대한 논의를 시작하게 하는 것입니다. 이를 위해 카드 게임은 위협 카탈로그를 안내하는 역할을 합니다. 이 게임은 진입 장벽이 낮고 애자일 개발 프로세스에 자연스럽게 통합될 수 있도록 설계되었습니다.
원래 게임은 전반적인 보안을 다루고, OWASP 재단의 또 다른 변형인 Cornucopia는 (웹) 애플리케이션 보안을 특히 대상으로 하지만, 우리는 클라우드 환경에서 일하는 devOps 팀의 특정 요구가 빠져 있다고 느꼈습니다. Cumulus는 이러한 공백을 메우기 위해 클라우드 시스템에 대한 위협이 포함된 맞춤형 카드 덱을 제공합니다.
위협은 다음 범주(이 게임의 슈트이기도 함)로 분류됩니다:
이 게임은 명시적으로 Elevation of Privilege나 Cornucopia를 대체하려고 하지 않습니다. 오히려 현대 소프트웨어 개발 프로젝트의 다양한 측면을 반영하는 위협 모델링 카드 덱 3종 중 하나로 보아야 합니다.
Cumulus는 스페이드와 유사한 트릭 테이킹 카드 게임입니다.
목표는 트릭을 획득하거나 위협을 찾아 가능한 한 많은 점수를 모으는 것입니다. 게임이 끝났을 때 가장 많은 점수를 가진 플레이어가 승리합니다.
게임 준비 단계에서 아키텍처 개요가 생성됩니다. 이상적으로는 데이터 흐름 다이어그램 형태이지만, 결국 플레이어들이 이해할 수 있는 개요라면 무엇이든 좋습니다. 또한 플레이어들은 시작 슈트, 즉 위협 범주에 동의합니다.
카드를 플레이어들에게 나눠준 후 게임이 시작됩니다. 첫 번째 딜러는 시작 슈트에서 가장 낮은 카드를 가진 플레이어입니다. 딜러는 시작 슈트의 카드를 한 장 냅니다. 각 다른 플레이어는 해당 라운드 동안 슈트를 따라야 합니다. 그렇게 할 수 없다면, 플레이어는 손에 있는 아무 카드나 선택할 수 있습니다. 라운드의 승자는 그 라운드의 슈트에서 가장 높은 가치의 카드 또는 가장 높은 트럼프 카드를 낸 플레이어이며 트릭을 가져갑니다.
트럼프는 Access & Secrets 슈트의 카드입니다.
승자는 점수 1점을 받고 새 라운드를 시작하며 새 슈트를 선택합니다. 새 카드가 나올 때마다 모든 플레이어는 현재 카드에 언급된 특정 위협이 자신의 시스템에 어떤 형태로 적용되는지 생각해 보아야 합니다. 위협이 발견되면(그리고 팀이 이것이 검토할 주제라는 데 동의하면) 이를 기록하고 발견자는 추가 점수를 받습니다.
시리어스 게임을 통해 위협 모델링을 수행한다는 독창적이고 훌륭한 아이디어는 당시 Microsoft에서 근무하던 Adam Shostack에게서 비롯되었습니다. 그는 Cumulus의 청사진인 Elevation of Privilege 게임을 만들었습니다.
Elevation of Privilege의 위협 모델링 접근 방식을 따르는 또 다른 훌륭한 게임은 OWASP 재단이 개발한 Cornucopia입니다.
두 카드 게임 모두 개발 팀이 구축 중인 시스템의 보안을 강화하는 데 도움이 되는 훌륭한 도구입니다.
그러나 우리는 특히 devOps/클라우드 프로젝트를 대상으로 하는 위협 모델링 카드 게임의 필요성을 느꼈습니다. 이 아이디어에서 Cumulus가 탄생했습니다.
원격 또는 지리적으로 분산된 팀을 위해 이 카드 게임(Elevation of Privilege와 Cornucopia도 포함)의 온라인 버전이 존재합니다. 이것은 쉽게 자체 호스팅할 수 있습니다.
다음에서 찾을 수 있습니다:
https://github.com/tng/elevation-of-privilege
또는 Cumulus는 copi.owasp.org에서 플레이할 수 있습니다. 릴리스 노트를 참조하세요. Johan Sydseter에게 감사드립니다.
카드 덱에 대한 기여는 매우 감사히 여겨집니다. 결국 이 카드 덱은 커뮤니티 프로젝트로 의도되었습니다.
위협 표현에 대한 변경은 cards.tex에 대한 풀 리퀘스트로 환영합니다.
카드 덱은 시맨틱 버전 관리를 따릅니다. 버전 변경의 의미는 다음과 같습니다:
카드 게임(위협 표현 및 배포된 PDF 파일 포함)은 CC-BY-4.0에 따라 배포됩니다. 이 게임을 배포할 때 TNG Technology Consulting을 언급해 주시면 매우 감사하겠습니다.
모든 유틸리티 파일(셸 스크립트, 레이아웃용 LaTeX 코드)은 Apache-2.0에 따라 배포됩니다.
