زيوس

أداة تدقيق وتدعيم AWS

زيوس هي أداة قوية لأفضل ممارسات تدعيم AWS EC2 / S3 / CloudTrail / CloudWatch / KMS. تقوم بفحص إعدادات الأمان وفقًا للملفات الشخصية التي ينشئها المستخدم وتغييرها إلى الإعدادات الموصى بها بناءً على معيار CIS AWS Benchmark بناءً على طلب المستخدم.

حاليًا، تتضمن فقط آلية التسجيل.

إدارة الهوية والوصول

• تجنب استخدام حساب "الجذر"
• تأكد من تفعيل المصادقة متعددة العوامل (MFA) لجميع مستخدمي IAM الذين لديهم كلمة مرور وحدة التحكم
• تأكد من تعطيل بيانات الاعتماد غير المستخدمة لمدة 90 يومًا أو أكثر
• تأكد من تدوير مفاتيح الوصول كل 90 يومًا أو أقل
• تأكد من أن سياسة كلمة مرور IAM تتطلب حرفًا كبيرًا واحدًا على الأقل
• تأكد من أن سياسة كلمة مرور IAM تتطلب حرفًا صغيرًا واحدًا على الأقل
• تأكد من أن سياسة كلمة مرور IAM تتطلب رمزًا واحدًا على الأقل
• تأكد من أن سياسة كلمة مرور IAM تتطلب رقمًا واحدًا على الأقل
• تأكد من أن سياسة كلمة مرور IAM تتطلب طولًا أدنى يبلغ 14 أو أكثر
• تأكد من عدم وجود مفتاح وصول لحساب الجذر
• تأكد من تفعيل MFA لحساب "الجذر"
• تأكد من تسجيل أسئلة الأمان في حساب AWS
• تأكد من إرفاق سياسات IAM فقط بالمجموعات أو الأدوار
• تفعيل الفوترة التفصيلية
• الحفاظ على تفاصيل الاتصال الحالية
• تأكد من تسجيل معلومات الاتصال الأمنية
• تأكد من استخدام أدوار مثيل IAM للوصول إلى موارد AWS من المثيلات

التسجيل

• تأكد من تفعيل CloudTrail في جميع المناطق
• تأكد من تفعيل التحقق من صحة ملف سجل CloudTrail
• تأكد من أن حاوية S3 التي يسجل إليها CloudTrail ليست قابلة للوصول العام
• تأكد من دمج مسارات CloudTrail مع سجلات CloudWatch
• تأكد من تفعيل AWS Config في جميع المناطق
• تأكد من تفعيل تسجيل الوصول إلى حاوية S3 في حاوية S3 الخاصة بـ CloudTrail
• تأكد من تشفير سجلات CloudTrail في حالة السكون باستخدام KMS CMKs
• تأكد من تفعيل التدوير لـ CMKs التي أنشأها العميل

الشبكات

• تأكد من عدم وجود مجموعات أمان تسمح بالدخول من 0.0.0.0/0 إلى المنفذ 22
• تأكد من عدم وجود مجموعات أمان تسمح بالدخول من 0.0.0.0/0 إلى المنفذ 3389
• تأكد من تفعيل تسجيل تدفق VPC في جميع VPC
• تأكد من أن مجموعة الأمان الافتراضية لكل VPC تقيد كل حركة المرور

المراقبة

• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لاستدعاءات API غير المصرح بها
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتسجيل الدخول إلى وحدة التحكم الإدارية بدون MFA
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لاستخدام حساب "الجذر"
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتغييرات سياسات IAM
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتغييرات تكوين CloudTrail
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لفشل المصادقة في وحدة تحكم إدارة AWS
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتعطيل أو حذف CMKs التي أنشأها العميل بشكل مجدول
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتغييرات سياسة حاوية S3
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتغييرات تكوين AWS Config
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه لتغييرات مجموعة الأمان
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه للتغييرات في قوائم التحكم في الوصول إلى الشبكة (NACL)
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه للتغييرات في بوابات الشبكة
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه للتغييرات في جداول التوجيه
• تأكد من وجود عامل تصفية لمقاييس السجل وتنبيه للتغييرات في VPC

سجل التغييرات

قريبًا.

المتطلبات

تمت كتابة زيوس بلغة bash باستخدام AWS-CLI ويعمل في Linux/UNIX و OSX.

تأكد من تثبيت أداة AWS-CLI على النظام وتكوين الملف الشخصي (aws configure).

تحديث:

تمت إضافة دوال التحقق من pip و aws-cli بناءً على نظام التشغيل.

الاستخدام

git clone https://github.com/DenizParlak/Zeus.git && cd Zeus && chmod +x zeus.sh && ./zeus.sh