OWASP Security Shepherd

O OWASP Security Shepherd Project é uma plataforma de treinamento em segurança de aplicações web e mobile. O Security Shepherd foi projetado para promover e melhorar a conscientização de segurança entre um público demográfico com diferentes níveis de habilidade. O objetivo deste projeto é pegar iniciantes em AppSec ou engenheiros experientes e aprimorar seu conjunto de habilidades em testes de penetração até o status de especialista em segurança.

Documentação

A documentação está em https://owasp.github.io/SecurityShepherd/: como jogar, como executar o Security Shepherd e um evento, e como contribuir.

Início rápido

Verifique os pré-requisitos primeiro. Em seguida, compile e inicie o Security Shepherd:

git clone https://github.com/OWASP/SecurityShepherd.git
cd SecurityShepherd
# Build the WAR and generate the database scripts the images need
mvn -Pdocker clean package -DskipTests
# Build the images and start the containers
docker compose up -d --build

Em seguida, abra https://localhost e siga Getting started para configurar o banco de dados e fazer login.

Este é um guia de início rápido para um laptop ou um laboratório de sala de aula, não uma implantação em produção: ele usa senhas padrão bem conhecidas e um certificado autoassinado. Antes que outras pessoas o utilizem, siga Deploying into production. Para migrar uma instalação existente para a 4.0, consulte Upgrading.

Imagens pré-construídas são publicadas no Docker Hub como owasp/security-shepherd. Verifying the images explica as tags e como verificar o SBOM e a proveniência de uma imagem.

A máquina virtual 3.1 e os pacotes de instalação manual ainda estão na página de releases, e a wiki os descreve.

Para que pode ser usado o Security Shepherd?

O Security Shepherd pode ser usado como;

• Ferramenta de Ensino para Toda a Segurança de Aplicações
• Plataforma de Treinamento em Testes de Invasão de Aplicações Web
• Treinamento em Testes de Invasão de Aplicações Móveis
• Ambiente Seguro para Praticar Técnicas de AppSec
• Plataforma para demonstrar exemplos reais de Riscos de Segurança

Por que escolher o Security Shepherd?

Existem muitas aplicações propositalmente vulneráveis disponíveis no OWASP Project Inventory, e ainda mais pela internet. Por que você deveria usar o Security Shepherd? Aqui estão algumas razões;

• Ampla Cobertura de Tópicos
  O Shepherd inclui mais de sessenta níveis em todo o espectro da segurança de aplicações Web e Mobile em um único projeto.
• Curva de Aprendizagem Suave
  O Shepherd é perfeito para usuários completamente novos em segurança, com níveis que aumentam de dificuldade em um ritmo agradável.
• Explicações em Linguagem Simples
  Quando cada conceito de segurança é apresentado pela primeira vez no Shepherd, ele é feito em termos simples para que qualquer pessoa (até mesmo iniciantes) possa absorvê-los.
• Exemplos do Mundo Real
  Os riscos de segurança no Shepherd são vulnerabilidades reais cujo impacto de exploração foi atenuado para proteger a aplicação, os usuários e o ambiente. Não há riscos de segurança simulados que exijam um vetor de ataque esperado e específico para passar de nível. Os vetores de ataque, quando usados no Shepherd, se comportam como no mundo real.
• Escalabilidade
  O Shepherd pode ser usado localmente por um único usuário ou facilmente como um servidor para um grande número de usuários.
• Altamente Personalizável
  O Shepherd permite que os administradores definam quais níveis estão disponíveis para seus usuários e de que forma são apresentados (Layouts Aberto, CTF e Torneio)
• Perfeito para Salas de Aula
  O Shepherd fornece aos seus jogadores chaves de solução específicas por usuário para impedir que os alunos compartilhem chaves, em vez de percorrer os passos necessários para completar um nível.
• Placar
  O Security Shepherd possui um placar configurável para incentivar um ambiente de aprendizagem competitivo. Os usuários que completam os níveis em primeiro, segundo e terceiro lugar recebem medalhas em sua entrada no placar e pontos de bônus para manter as coisas divertidas no placar.
• Gerenciamento de Usuários
  Os administradores do Security Shepherd podem criar usuários, criar administradores, suspender, reativar, adicionar pontos de bônus ou remover pontos de penalidade das contas dos usuários com os controles de gerenciamento de usuários do administrador. Os administradores também podem segmentar seus alunos em grupos de turma específicos. Os administradores podem visualizar o progresso que uma turma fez para identificar participantes com dificuldades. Um administrador pode até fechar o registro público e criar usuários manualmente, se desejar uma experiência privada.
• Serviço Robusto
  O Shepherd foi usado para executar CTFs online como o OWASP Global CTF e o OWASP LATAM Tour CTF 2015, ambos ultrapassando 200 usuários ativos e funcionando sem tempo de inatividade, exceto por períodos de manutenção planejados.
• Feedback Configurável
  Um administrador pode habilitar um processo de feedback, que deve ser concluído pelos usuários antes que um nível seja marcado como completo. Isso é usado tanto para facilitar melhorias no projeto com base no feedback enviado quanto para que os administradores do sistema coletem "Relatórios de Compreensão" de seus alunos.
• Registro Granular
  Os logs relatados pelo Security Shepherd são altamente detalhados e descritivos, mas não ofuscantes. Se um usuário estiver se comportando mal, você saberá.