owasp/threat-dragonOWASP의 오픈소스 위협 모델링 도구
OWASP Threat Dragon은 무료 오픈소스 크로스 플랫폼 위협 모델링 애플리케이션입니다. 위협 모델링 다이어그램을 그리고 다이어그램의 요소에 대한 위협을 나열하는 데 사용됩니다. Mike Goodwin은 위협을 직관적이고 접근 가능한 방식으로 모델링할 수 있는 오픈소스 커뮤니티 프로젝트로 Threat Dragon을 만들었습니다.
Threat Dragon은 유연성과 단순성을 강조하며 다양한 유형의 팀이 접근할 수 있도록 설계되었습니다. 이 프로젝트는 OWASP Production 상태를 보유하고 있으며 위협 모델링 선언문의 가치와 원칙을 따릅니다.
이 프로그램은 자유 소프트웨어입니다: Apache 2.0 라이선스 조건에 따라 이를 재배포하거나 수정할 수 있습니다.
최신 버전의 Threat Dragon은 데모 웹사이트에서 이용할 수 있으며 문서 페이지를 참조하세요.
OWASP Spotlight 시리즈에서 제공하는 비디오도 시청할 가치가 충분히 있습니다.
GitHub 릴리스 영역에는 버전 1.3부터 최신 버전 2.x까지의 Threat Dragon이 포함되어 있습니다. 이전 릴리스는 Mike Goodwin의 원본 저장소에서 제공됩니다.
OWASP에서 제공하는 위협 모델링 및 위험 평가에 대한 훌륭한 개요가 있으며, 이는 Threat Dragon 프로젝트가 목표로 하는 바를 확장하여 설명합니다:
Mike Goodwin은 이 프로젝트의 창립자이자 제작자이며, 이 저장소는 2015년 10월부터 2020년 6월까지의 이슈와 풀 리퀘스트가 있는 Mike Goodwin의 원본에서 마이그레이션되었습니다.
Threat Dragon은 주로 웹 애플리케이션입니다. 웹 애플리케이션은 위협 모델 파일을 로컬 파일 시스템에 저장할 수 있으며, 추가로 다음에 대한 접근을 구성할 수 있습니다:
Threat Dragon의 데스크톱 버전은 위협 모델 파일을 로컬 파일 시스템에 저장하며 외부 저장소에 접근하지 않습니다. Windows, MacOS 및 Linux용 설치 프로그램을 다운로드할 수 있습니다.
최신 버전 2.x와 이전 버전 1.x 모두에 대한 최종 사용자 도움말이 제공됩니다.
Threat Dragon은 원래 AngularJS 버전 1.x로 작성되었지만, 이 Angular 버전은 지원이 종료되었습니다. 즉, Threat Dragon 1.x 버전은 더 이상 적극적으로 유지보수되지 않으며 2.x 버전은 Vue.js를 사용하도록 재작성되었습니다.
버전 1.x의 빌드/실행에 대한 자세한 내용은 legacy-v1.x 브랜치를 참조하세요.
npm(node 패키지 관리자)을 포함하는 git과 node.js를 설치합니다.
다음 명령을 사용하여 저장소를 클론합니다: git clone https://github.com/owasp/threat-dragon.git
이 명령은 코드를 threat-dragon 디렉터리에 다운로드하며, 애플리케이션 코드는 두 개의 하위 폴더,
즉 백엔드 애플리케이션(td.server)용 폴더와 프론트엔드(td.vue)용 폴더로 나뉘어 있습니다.
프로젝트의 최상위 디렉터리에서 다음 명령을 사용하여 설치합니다: npm install
Threat Dragon의 웹 애플리케이션 버전은 일부 환경 변수가 필요합니다; 이 변수들을 설정하는 방법은 문서를 따르세요.
Bitbucket / GitHub / GitLab과 같은 외부 저장소에 대한 접근이 필요한 경우, 저장소 계정에서 애플리케이션을 등록해야 합니다. Bitbucket, GitHub 및 GitLab에 대해 이를 수행하는 방법에 대한 단계별 가이드가 있습니다.
Windows에서 실행하는 경우, 개발 중에는 프론트엔드와 서버 백엔드를
npm run dev:server 및 npm run dev:vue 명령을 사용하여 "watch" 모드에서 별도로 시작할 수 있습니다.
또는 Linux 또는 MacOS에서 실행하는 경우, 최상위 디렉터리에서
npm start를 사용하여 백엔드 서버와 프론트엔드 애플리케이션을 모두 시작합니다.
프론트엔드와 백엔드가 모두 실행된 상태에서 브라우저로 http://localhost:8080/에 접속합니다.
npm start를 사용하는 경우, 최상위 디렉터리에서 npm stop 명령으로 백엔드 서버와 프론트엔드 애플리케이션을 모두 중지합니다.
그렇지 않은 경우 서버와 vue 프론트엔드를 모두 종료합니다.
Threat Dragon은 Dockerhub의 OWASP 조직 영역 내에서 docker 이미지를 유지 관리합니다.
각 릴리스는 v{major}.{minor}.{patch} 형식으로 태그되며, 예: v2.2.0:
docker pull owasp/threat-dragon:v2.2.0'latest' 태그(기본값)는 개발 버전일 가능성이 높으므로
항상 최신 공식 릴리스를 나타내는 stable 태그를 사용하세요:
docker pull threatdragon/owasp-threat-dragon:stabledocker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0docker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0http 포트 8080을 사용하고 http://localhost:8080/에서 Threat Dragon에 접속한다고 가정합니다.
로컬에서 빌드된 docker 컨테이너에서 Threat Dragon을 실행하려면, 먼저 dotenv를 사용하여 환경을 구성하고 프로젝트의 최상위 디렉터리에서 다음을 실행하세요:
docker build -t owasp-threat-dragon:dev .docker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env owasp-threat-dragon:devdocker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env owasp-threat-dragon:devhttp 포트 8080을 사용하고 http://localhost:8080/에서 Threat Dragon에 접속합니다.
풀 리퀘스트, 기능 요청, 버그 리포트 및 모든 종류의 피드백을 환영합니다. 기여자 페이지를 참조하세요.
이 프로젝트를 시작하는 데 도움이 되는 개발자 노트가 있습니다. 테스트 커버리지를 비교적 높게 유지하려고 노력하고 있으므로 풀 리퀘스트에 테스트를 포함해 주세요.
Threat Dragon 커뮤니티에 연락하는 가장 쉬운 방법은 OWASP Google 그룹에 이메일을 보내는 것입니다. OWASP Slack 채널 #project-threat-dragon은 좋은 정보 소스이지만, 먼저 구독이 필요할 수 있습니다.
Bluesky에서 Threat Dragon을 팔로우할 수 있습니다.
이 프로젝트에서 취약점을 발견하면 가능한 한 빨리 알려주시기 바랍니다. 우선순위로 수정하겠습니다. 안전한 공개를 위해 보안 정책을 참조하세요.
Threat Dragon: 위협 모델링을 덜 위협적으로 만들기