Irrah tech - Cornucopia - Um jogo para aprender sobre modelagem de ameaças em software

Apresentado dia 31/08/26 na weekly de engenharia e tecnologia

Transcript

1. Cornucopia - Um game para facilitar o assunto codificação segura Wagner Mendes Voltz – Fusca
2. O que É? •Um game em forma de cartas •Para times de desenvolvimento de software •É independente de linguagem, plataforma e tecnologia •É gratuito •Serve para modelagem de ameaças
3. O que É? •É mantido pela OWASP - Open Web Application Security Project •Baseado no: ◦SAFECode ◦Elevation of Privilege (EoP) Card Game – Microsoft Security Development Lifecycle (SDL) ◦CAPEC - Commom Attack Pattern Enumeration and Classification ◦OWASP AppSensor, OWASP ASVS, OWASP SCP
4. O que NÃO É? •Só para desenvolvedores •Só da Irrah Tech •Somente para novos softwares •Não é poker •Não é truco •Não é demorado
5. O que FAZ? •Ajuda a identificar requisitos de segurança •Gera um backlog baseado em segurança para o time de desenvolvimento •Dissemina o conhecimento de segurança da informação no time
6. O que NÃO FAZ? •Não identifica como solucionar os bugs potenciais de segurança •Não dá uma ordem de prioridade para os bugs potenciais
8. Naipes e cartas •Valores das cartas ◦De às até o K (rei) •Naipes ◦Validação de dados de entrada e codificação de dados de saída ◦Autenticação e gerenciamento de credenciais ◦Gerenciamento de sessões ◦Controle de acessos ◦Práticas de criptografia
9. Contexto •Todo o software ou uma funcionalidade específica •3-6 pessoas, além do facilitador •Cada carta descreve um ataque •O atacante pode estar remoto ou interno
10. Regras – Início •A decisão de quem inicia o jogo é feita por um sorteio •A ordem de jogadas segue em sentido horário a partir do jogador sorteado •O segundo jogador da rodada, irá iniciar a próxima podendo escolher qual naipe quer utilizar •Este fluxo se repete até o jogo acabar
11. Regras – Pontuação e descarte •O objetivo do jogo é pontuar através do descarte de cartas que possam ser possíveis bugs e vulnerabilidades no sistema. •Cada jogador deve ler a carta em voz alta e defender o por que a situação descrita realmente pode ocorrer. •Todos participantes podem opinar se realmente é possível aquele ataque •Se o ataque for possível, o jogador marca um PONTO.
12. Regras – Pontuação e descarte •Na sequência da rodada, cada jogador deve jogar a carta do mesmo naipe buscando pontuar ◦Caso o jogador não tenha uma carta do mesmo naipe, este deve jogar uma carta de outro naipe, não participando da pontuação extra. •A carta mais alta da rodada e que seja do mesmo naipe inicial ganha a mão (PONTO EXTRA). •O segundo jogador da rodada irá iniciar a próxima mão, podendo decidir qual naipe utilizar
14. E como tem sido a aplicação nos times? Lições aprendidas •Comece simples •Rodar o game uma única vez pode não ser tão produtivo •Importante ter um especialista jogando, além do facilitador •Criamos um help extra por causa da descrição das cartas as vezes não serem tão claras • É possível fazer o game com times remotos. • Envolver testers geram muitos resultados positivos.
15. E como tem sido a aplicação nos times? Lições aprendidas •Ter gestor ou cliente participando pode gerar certos desconfortos aos participantes (mas é possível jogar com eles) •Ter uma premiação aguça a estratégia do jogo
16. Codificação Segura •Cornucopia é só uma dinâmica, mas não é a única •OWASP Snakes and Ladders https://www.owasp.org/index.php/OWASP_Snakes_and_Ladders •OpenSAMM - https://owaspsamm.org/ •SafeCode - https://safecode.org/
17. Para saber mais sobre Cornucopia •OWASP Cornucopia https://www.owasp.org/index.php/OWASP_Cornucopia •Projeto de tradução https://github.com/wagnerfusca/OWASP-Cornucopia-Translate-Cards---PT •Vídeo sobre Cornucópia - https://youtu.be/W6zMNrMTaOM
18. Para saber mais sobre Cornucopia Notícias vinculadas •https://codejourney.com.br/owasp-cornucopia-agile-game/
19. OBRIGADO! Wagner Fusca https://www.linkedin.com/in/wagnerfusca/ https://medium.com/@wagnerfusca/