Projeto Cookbook de Modelos de Ameaças da OWASP

Este projeto trata da criação e publicação de exemplos de modelos de ameaças. Eles podem estar na forma de código, representações gráficas ou textuais. Os modelos usarão diversas tecnologias, metodologias e técnicas.

Você pode aprender com esses modelos, usá-los como base para começar os seus próprios, ou contribuir e expandir alguns deles. Tornando este um livro de receitas colaborativo de modelos de ameaças.

https://owasp.org/www-project-threat-model-cookbook/

https://twitter.com/OWASP_tmcb

Aviso Legal

Os exemplos fornecidos neste repositório não são representações de sistemas seguros, mas sim sistemas inseguros que são fáceis de modelar. A maioria deles são sistemas fictícios que não existem na realidade. Qualquer semelhança com sistemas da vida real é mera coincidência.

Contribuindo

Estamos aceitando PRs contendo exemplos para adicionar ao livro de receitas. Se você quiser adicionar novos modelos de ameaças, criar mais versões baseadas em rascunhos existentes, sinta-se à vontade para enviar um PR diretamente.

Aqui estão algumas diretrizes sobre como nossa estrutura de arquivos funciona:

• INDEX.md contém todos os sistemas que são modelados com imagens incorporadas e descrições curtas.
• Os diretórios de nível superior são o tipo de modelos de ameaças. Exemplo: Flow Diagram.
• Se o seu modelo de ameaças tiver 1 ou 2 arquivos, você pode colocar os arquivos diretamente nesse diretório. Se tiver mais, crie uma pasta com o nome do seu sistema a ser modelado.
• O nome do sistema precisa usar apenas hífens e caracteres alfanuméricos. Sem espaços.
• Um arquivo precisa ter uma extensão específica dependendo do formato: system-name.tool e system-name.tool.exportfiletype. Como exemplos, temos o arquivo de código cryptowallet.plantuml e a saída para um arquivo de imagem gerado a partir desse código como cryptowallet.plantuml.svg. Consulte o README.md em cada pasta de nível superior para obter uma lista de ferramentas e suas correspondências de extensão de arquivo.
• Se você tiver múltiplas representações do mesmo sistema usando a mesma ferramenta, sugerimos adicionar altN- no início do arquivo, onde N é um número.

Se isso parecer complicado e você quiser apenas contribuir, ainda assim pode enviar um PR e nós o refatoraremos para você. Podemos ter mais automação e referências externas no futuro, por isso queremos manter uma estrutura de arquivos rigorosa.

Se você quiser discutir sobre a estrutura do projeto, sinta-se à vontade para participar da discussão no Slack da OWASP.

Licenças

Todos os modelos na forma de representações textuais ou gráficas estão sob CC-BY 4.0

Todos os modelos como código estão sob Apache License 2.0