CloudSploit من Aqua - فحوصات أمان السحابة

بداية سريعة

عام

$ git clone https://github.com/aquasecurity/cloudsploit.git
$ cd cloudsploit
$ npm install
$ ./index.js -h

Docker

$ git clone https://github.com/aquasecurity/cloudsploit.git
$ cd cloudsploit
$ docker build . -t cloudsploit:0.0.1
$ docker run cloudsploit:0.0.1 -h
$ docker run -e AWS_ACCESS_KEY_ID=XX -e AWS_SECRET_ACCESS_KEY=YY cloudsploit:0.0.1 --compliance=pci

التوثيق

• الخلفية
• خيارات النشر
  • مستضاف ذاتياً
  • مستضاف في Aqua Wave
• التثبيت
• التكوين
  • أمازون ويب سيرفيسز
  • مايكروسوفت أزور
  • منصة جوجل السحابية
  • البنية التحتية السحابية من أوراكل
  • ملف تكوين CloudSploit
  • ملفات بيانات الاعتماد
    • AWS
    • Azure
    • GCP
    • Oracle OCI
  • متغيرات البيئة
• التشغيل
• خيارات سطر الأوامر
• الامتثال
  • HIPAA
  • PCI
  • معايير CIS
• تنسيقات الإخراج
  • الإخراج إلى وحدة التحكم
  • تجاهل النتائج الناجحة
  • CSV
  • JSON
  • JUnit XML
  • إخراج المجموعة
• الكبت (Suppressions)
• تشغيل إضافة واحدة
• الهندسة المعمارية
• كتابة إضافة
• ملاحظات أخرى

الخلفية

CloudSploit من Aqua هو مشروع مفتوح المصدر مصمم للكشف عن المخاطر الأمنية في حسابات البنية التحتية السحابية، بما في ذلك: أمازون ويب سيرفيسز (AWS)، مايكروسوفت أزور (Azure)، منصة جوجل السحابية (GCP)، البنية التحتية السحابية من أوراكل (OCI)، وGitHub. تهدف هذه البرامج النصية إلى إرجاع سلسلة من التكوينات الخاطئة المحتملة والمخاطر الأمنية.

خيارات النشر

يتوفر CloudSploit بخيارين للنشر:

مستضاف ذاتياً

اتبع التعليمات أدناه لنشر الإصدار مفتوح المصدر من CloudSploit على جهازك في بضع خطوات بسيطة.

مستضاف في Aqua Wave

نسخة تجارية من CloudSploit مستضافة في Aqua Wave. جرّب Aqua Wave اليوم!

التثبيت

تأكد من تثبيت NodeJS. إذا لم يكن مثبتاً، قم بتثبيته من هنا.

$ git clone [email protected]:cloudsploit/scans.git
$ npm install

التكوين

يتطلب CloudSploit صلاحيات قراءة فقط لحسابك السحابي. اتبع الأدلة أدناه لتوفير هذا الوصول:

• أمازون ويب سيرفيسز
• مايكروسوفت أزور
• منصة جوجل السحابية
• البنية التحتية السحابية من أوراكل

بالنسبة لـ AWS، يمكنك تشغيل CloudSploit مباشرة وسيكتشف بيانات الاعتماد باستخدام سلسلة بيانات الاعتماد الافتراضية لـ AWS.

ملف تكوين CloudSploit

يتيح لك ملف تكوين CloudSploit تمرير بيانات اعتماد مزود السحابة عن طريق:

1. ملف JSON على نظام الملفات الخاص بك
2. متغيرات البيئة
3. الترميز الثابت (غير مستحسن)

ابدأ بنسخ ملف التكوين النموذجي:

$ cp config_example.js config.js

قم بتحرير ملف التكوين عن طريق إلغاء تعليق الأقسام ذات الصلة بمزود السحابة الذي تختبره. كل سحابة لديها خيار credential_file، بالإضافة إلى خيارات مضمنة. على سبيل المثال:

azure: {
    // OPTION 1: If using a credential JSON file, enter the path below
    // credential_file: '/path/to/file.json',
    // OPTION 2: If using hard-coded credentials, enter them below
    // application_id: process.env.AZURE_APPLICATION_ID || '',
    // key_value: process.env.AZURE_KEY_VALUE || '',
    // directory_id: process.env.AZURE_DIRECTORY_ID || '',
    // subscription_id: process.env.AZURE_SUBSCRIPTION_ID || ''
}

ملفات بيانات الاعتماد

إذا استخدمت خيار credential_file، فوجه إلى ملف في نظام الملفات الخاص بك يتبع التنسيق الصحيح للسحابة التي تستخدمها.

AWS

{
  "accessKeyId": "YOURACCESSKEY",
  "secretAccessKey": "YOURSECRETKEY"
}

Azure

{
  "ApplicationID": "YOURAZUREAPPLICATIONID",
  "KeyValue": "YOURAZUREKEYVALUE",
  "DirectoryID": "YOURAZUREDIRECTORYID",
  "SubscriptionID": "YOURAZURESUBSCRIPTIONID"
}

GCP

ملاحظة: بالنسبة لـ GCP، تقوم بإنشاء ملف JSON مباشرة من وحدة تحكم GCP، والذي لا يجب تعديله.

{
    "type": "service_account",
    "project": "GCPPROJECTNAME",
    "client_email": "GCPCLIENTEMAIL",
    "private_key": "GCPPRIVATEKEY"
}

Oracle OCI

{
  "tenancyId": "YOURORACLETENANCYID",
  "compartmentId": "YOURORACLECOMPARTMENTID",
  "userId": "YOURORACLEUSERID",
  "keyFingerprint": "YOURORACLEKEYFINGERPRINT",
  "keyValue": "YOURORACLEKEYVALUE",
}

متغيرات البيئة

يدعم CloudSploit تمرير متغيرات البيئة، لكن يجب أولاً إلغاء تعليق القسم الخاص بملف config.js ذي الصلة بمزود السحابة الذي يتم فحصه.

يمكنك بعد ذلك تمرير المتغيرات المدرجة في كل قسم. على سبيل المثال، بالنسبة لـ AWS:

{
  access_key: process.env.AWS_ACCESS_KEY_ID || '',
  secret_access_key: process.env.AWS_SECRET_ACCESS_KEY || '',
  session_token: process.env.AWS_SESSION_TOKEN || '',
}

التشغيل

لتشغيل فحص قياسي يعرض جميع المخرجات والنتائج، ما عليك سوى تشغيل:

$ ./index.js

خيارات سطر الأوامر

يدعم CloudSploit العديد من الخيارات لتخصيص وقت التشغيل. بعض الخيارات الشائعة تشمل:

• دعم AWS GovCloud: --govcloud
• دعم AWS China: --china
• حفظ بيانات استجابة مزود السحابة الخام: --collection=file.json
• تجاهل النتائج الناجحة (OK): --ignore-ok
• الخروج برمز غير صفري إذا تم العثور على نتائج غير ناجحة: --exit-code
  • هذا خيار جيد لأنظمة CI/CD
• تغيير الإخراج من جدول إلى نص خام: --console=text

انظر تنسيقات الإخراج أدناه لمزيد من خيارات الإخراج.

$ ./index.js -h

  _____ _                 _  _____       _       _ _
  / ____| |               | |/ ____|     | |     (_) |
| |    | | ___  _   _  __| | (___  _ __ | | ___  _| |_
| |    | |/ _ \| | | |/ _` |\___ \| '_ \| |/ _ \| | __|
| |____| | (_) | |_| | (_| |____) | |_) | | (_) | | |_
  \_____|_|\___/ \__,_|\__,_|_____/| .__/|_|\___/|_|\__|
                                  | |
                                  |_|

  CloudSploit by Aqua Security, Ltd.
  Cloud security auditing for AWS, Azure, GCP, Oracle, and GitHub

usage: index.js [-h] --config CONFIG [--compliance {hipaa,cis,cis1,cis2,pci}] [--plugin PLUGIN] [--govcloud] [--china] [--csv CSV] [--json JSON] [--junit JUNIT]
                [--table] [--console {none,text,table}] [--collection COLLECTION] [--ignore-ok] [--exit-code] [--skip-paginate] [--suppress SUPPRESS]