Att hitta ett komplement till stora XML-filer kan vara svårt, men kan också vara nödvändigt. På IdaInfront använder man sig idag utav XML-filer för att sätta upp konfigurationerna på hur man ska bygga upp ett projekt i deras program iipax. Dessa blir ofta väldigt stora och oöverskådliga samt att det inte finns någon smidig grafisk representation på hur de olika typerna hör ihop för att få en enkel överblick, det är här mitt examensarbete kommer in. Jag har skapat en prototyp på hur man med ett domän specifikt språk (DSL) kan ersätta XML syntaxen och på så sätt få det mera läsbart och samtidigt göra en grafisk representation på hur de olika noderna är kopplade till varandra. Jag använde mig av ett verktyg som heter XText för att ta fram mitt DSL då det gav en bra grund samt att man får olika hjälpverktyg så som auto-complete förslag, färgkodning, validering mm. För att få fram en grafisk editor använde jag mig av ett verktyg som heter Eugenia som är en del av Epsilon som utveklar verktyg för olika typer av hantering av EMF modeller i Eclipse. Det gav en smidig koppling mellan den DSL jag utformade i XText med en grafisk editor som Eugenia automatiskt genererade på omkring 600 filer utifrån två filer med inställningar som jag modifierade. Jag fick fram ett bra resultat för en prototyp i mindre skala. Dock använder sig IdaInfront av så många noder per projekt så det blir ganska snabbt svårt att se helheten i den grafiska editorn. Det hade varit smidigt om man kunde extrahera olika grupperingar i editorn men det hade jag tyvärr inte tid med att försöka konfigurera ihop.

This project explores how a Meta Attack Language based Domain Specific Language for web applications can be used to threat model web applications in order to evaluate and improve web application security. Organizations and individuals are targeted by cyberattacks every day where malicious actors could gain access to sensitive information. These malicious actors are also developing new and innovative ways to exploit the many different components of web applications. Web applications are becoming more and more complex and the increasingly complex architecture gives malicious actors more components to target with exploits. In order to develop a secure web application, developers have to know the ins and outs of web application components and web application security. The Meta Attack Language, a framework for developing domain specific languages, was recently developed and has been used to create languages for domains such as Amazon Web Services and smart cars but no language previously existed for web applications. This project presents a prototype web application language delimited to the first vulnerability in the top ten list provided by Open Worldwide Application Security Project (OWASP), which is broken access control, and tests it against the OWASP juice shop, which is an insecure web application developed by OWASP to test new tools. Based on the results it is concluded that the prototype can be used to model web application vulnerabilities but more work needs to be done in order for the language to work on any given web application and vulnerability. / Detta projekt utforskar hur ett Meta Attack Language baserat Domän Specifikt Språk för webbapplikationer kan användas för att hotmodellera samt undersöka och förbättra webbapplikationssäkerhet. Organisationer och individer utsätts dagligen för cyberattacker där en hackare kan få tillgång till känslig information. Dessa hackare utverklar nya och innovativa sätt att utnyttja dem många olika komponenterna som finns i webbapplikationer. Webbapplikationer blir mer och mer komplexa och denna ökande komplexa arkitekturen leder till att det finns mer mål för en hackare att utnyttja. För att utveckla en säker webbapplikation måste utvecklare veta allt som finns om webbapplikations komponenter och webbapplikations säkerhet. Meta Attack Language är ett ramverk för att utveckla nya språk för domäner som till exempel Amazon Web Services och smarta fordon men innan detta existerade inget språk för webbapplikationer. Detta projekt presenterar en webbapplikations språk prototyp som är avgränsad till den första sårbarheten i top tio listan av Open Worldwide Application Security Project (OWASP) vilket är broken access control, och testar den mot OWASP juice shop, vilket är en sårbar webapplikation som utveckalts av OWASP för att testa nya verktyg. Baserat på resultaten dras slutsatsen att prototypen kan användas för att modellera webbapplikations sårbarheter men att det behövs mer arbete för att språket ska fungera på vilken webbapplikation och sårbarhet som helst.