owasp/threat-dragonИнструмент моделирования угроз с открытым исходным кодом от OWASP
[
][practices]
[OWASP][owasp] [Threat Dragon][project] — это бесплатное, открытое, кроссплатформенное приложение для моделирования угроз. Оно используется для рисования диаграмм моделирования угроз и для перечисления угроз для элементов диаграммы. Mike Goodwin создал Threat Dragon в качестве открытого сообщества, которое предоставляет интуитивно понятный и доступный способ моделирования угроз.
Threat Dragon спроектирован так, чтобы быть доступным для различных типов команд, с акцентом на гибкость и простоту. Проект имеет [статус OWASP Production][project] и следует ценностям и принципам [манифеста моделирования угроз][manifesto].
Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её в соответствии с условиями [лицензии Apache 2.0][license].
Получите доступ к последней версии Threat Dragon на [демонстрационном сайте][demo] и обратитесь к [страницам документации][docs].
Также стоит посмотреть видео, предоставленное серией OWASP Spotlight.
В [области выпусков на GitHub][releases] содержатся версии Threat Dragon от 1.3 до последних версий 2.x. Предыдущие выпуски находятся в оригинальном репозитории Майка Гудвина.
На сайте OWASP есть хороший обзор моделирования угроз и оценки рисков, который расширяет то, к чему стремится проект Threat Dragon:
Mike Goodwin является основателем и создателем этого проекта, и данный репозиторий был перенесён из оригинального репозитория Майка Гудвина, в котором содержатся вопросы и запросы на слияние с октября 2015 по июнь 2020 года.
Threat Dragon — это прежде всего веб-приложение. Веб-приложение может хранить файлы моделей угроз в локальной файловой системе; кроме того, можно настроить доступ к:
Настольные версии Threat Dragon хранят файлы моделей угроз в локальной файловой системе и не имеют доступа к внешним репозиториям. Вы можете скачать установщики для Windows, MacOS и Linux.
Справка для конечного пользователя доступна как для последней [версии 2.x][docs], так и для предыдущей версии 1.x.
Изначально Threat Dragon был написан с использованием AngularJS версии 1.x, но эта версия Angular достигла конца срока службы. Это означает, что версии 1.x Threat Dragon больше активно не поддерживаются, а версии 2.x были переписаны с использованием Vue.js.
Для получения дополнительной информации о сборке/запуске версии 1.x, пожалуйста, обратитесь к ветке legacy-v1.x.
Установите git и [node.js][node], который включает менеджер пакетов npm
Клонируйте репозиторий с помощью: git clone https://github.com/owasp/threat-dragon.git
Это загрузит код в каталог threat-dragon, и код приложения находится в двух подпапках:
одна для серверной части (td.server) и одна для клиентской части (td.vue).
Установите из корневого каталога проекта с помощью: npm install
Веб-версия Threat Dragon требует некоторых переменных окружения; следуйте [документации][config] по настройке этих переменных.
Если требуется доступ к внешним репозиториям, таким как Bitbucket/GitHub/GitLab, вам необходимо зайти в свой аккаунт репозитория и зарегистрировать приложение. Существуют пошаговые руководства по этому процессу для [Bitbucket][bitbucket], [GitHub][github] и [GitLab][gitlab].
При работе в Windows и во время разработки клиентскую и серверную части
можно запускать отдельно в режиме "watch" с помощью команд: npm run dev:server и npm run dev:vue.
Кроме того, при работе в Linux или MacOS запустите и серверную часть, и клиентское приложение
из корневого каталога с помощью: npm start.
Когда обе части запущены, откройте браузер по адресу http://localhost:8080/
Если используется npm start, остановите и серверную часть, и клиентское приложение
из корневого каталога командой npm stop. В противном случае выйдите из обеих частей (сервера и frontend).
Threat Dragon поддерживает образы Docker в организации OWASP на Dockerhub.
Каждый выпуск помечен как v{мажорная}.{минорная}.{патч}, например v2.2.0:
docker pull owasp/threat-dragon:v2.2.0Тег latest (который используется по умолчанию) может быть разработочной версией,
поэтому используйте тег stable, который всегда соответствует последнему официальному выпуску:
docker pull threatdragon/owasp-threat-dragon:stabledocker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0docker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env threatdragon/owasp-threat-dragon:v2.2.0Предполагается, что вы используете порт http 8080 и обращаетесь к Threat Dragon по адресу http://localhost:8080/.
Для запуска Threat Dragon в контейнере Docker, собранном локально, сначала настройте [окружение с помощью dotenv][config] и запустите из корневого каталога проекта:
docker build -t owasp-threat-dragon:dev .docker run -it --rm -p 8080:3000 -v $(pwd)/.env:/app/.env owasp-threat-dragon:devdocker run -it --rm -p 8080:3000 -v %CD%/.env:/app/.env owasp-threat-dragon:devИспользование порта http 8080 и доступ к Threat Dragon по адресу http://localhost:8080/.
[
][contributors]
Запросы на слияние, запросы функций, отчёты об ошибках и отзывы любого рода приветствуются; пожалуйста, обратитесь к странице для участников.
Есть некоторые [заметки для разработчиков][notes], которые помогут начать работу с этим проектом. Мы стараемся поддерживать относительно высокое покрытие тестами, поэтому включайте тесты в свои запросы на слияние.
Самый простой способ связаться с сообществом Threat Dragon — отправить письмо в группу OWASP в Google. Канал OWASP Slack [#project-threat-dragon][td-slack] является хорошим источником информации, хотя сначала вам [возможно, потребуется подписаться][subscribe].
Вы можете следить за Threat Dragon в [Bluesky][bluesky].