شعار cloudg المتحرك

cloudg (رسم البنية السحابية) يحوّل البنية التحتية في AWS وAzure وGCP إلى رسم بياني،
ويشغّل ماسحات الأمان على نفس الجرد، ويحوّل النتائج إلى تقارير يمكنك استخدامها فعلاً.

أمر واحد يجمع الأصول من كل مزوّد مُهيّأ على التوازي، ويمرّرها عبر رسم بياني من NetworkX لتحليل إمكانية الوصول ومسارات الهجوم، ثم يوزّعها على Prowler وScoutSuite وCheckov وTrivy، ثم يدمج كل النتائج ويزيل التكرارات مقابل 28 إطار عمل للامتثال. وفي الطرف الآخر تخرج تقرير HTML تفاعلي، وGraphML، وأنطولوجيا RDF، ومقاطع RAG لخطوط معالجة نماذج اللغة الكبيرة (LLM)، وملفات Terraform تعيد إنشاء البنية التحتية الحيّة.

هل تحتاج إلى الخريطة دون أدوات الأمان؟ cloudg map هو مُخطِّط جرد مستقل عن الماسحات: يجمع بعمق كل ما هو منشور (أو افتراضي) في حساب ما، وصولاً إلى نسيج الشبكة، ويمسح كل خدمة بحثاً عن الباقي، ويربط كل ذلك في خريطة أصول واحدة يمكنك تركيب نتائج الماسحات عليها لاحقاً. راجع تخطيط الجرد.

هل تريد أن يعمل وكيل ذكاء اصطناعي مع كل ذلك؟ cloudg mcp serve يحوّل cloudg إلى خادم MCP لـ Claude Desktop أو Claude Code أو Cursor أو أي شيء آخر يتحدث بروتوكول سياق النموذج (Model Context Protocol). راجع خادم MCP.

التوثيق الكامل: يوجد الدليل المُنسَّق على morpheuslord.github.io/cloudg، مع نفس المحتوى بصيغة markdown في مرجع الميزات وملاحظات الإصدار في سجل التغييرات. لمُخطِّط الجرد وثائقه المتعمقة الخاصة: مرجع الجرد (كل بنية إرجاع وملف إخراج، حقلاً بحقل)، وفهرس الجرد (جميع أنواع الأصول البالغ عددها 156، وبياناتها الوصفية وعلاقاتها) والبنية الداخلية للجرد (كيف يعمل وكيف توسّعه). ويغطي خادم MCP كلٌّ من دليل MCP، ومرجع الأدوات ومرجع الخصوصية، ويغطي تحديد المعدل حدود المعدل وتحديد المعدل.

تقرير نموذجي: لترى ما ينتجه cloudg قبل تشغيل أي شيء، افتح التقرير النموذجي. إنه ملف report.html لبيئة AWS وAzure وGCP اصطناعية، لذا فكل معرّف فيه مُختلَق، ويعيد scripts/build_sample_report.py بناءه من بيانات الاختبار الثابتة.

البدء السريع

git clone https://github.com/morpheuslord/cloudg.git
cd cloudg

uv venv && source .venv/bin/activate
uv pip install -e ".[all,dev]"

# one provider, one region
cloudg run -p aws --regions us-east-1

# everything, everywhere
cloudg run -p all --regions all

# with Terraform recreation files
cloudg run -p aws --regions us-east-1 --terraform

تصل التقارير إلى ./reports. افتح report.html أولاً.

هل شغّلت أدوات الفحص بنفسك بالفعل؟ مرّر ملفات المخرجات الأصلية إلى cloudg بدلاً من ذلك. لا حاجة إلى بيانات اعتماد سحابية، ولا إلى ملفات ثنائية لأدوات الفحص:

cloudg ingest --prowler ./prowler-output/ --checkov ./results_json.json --trivy ./trivy.json

أي مزيج من مخرجات Prowler وScoutSuite وCheckov وTrivy يعمل؛ إذ يقوم cloudg بالتطبيع وإزالة التكرارات عبر الماسحات الضوئية وفقًا لمجموعات قواعد تكافؤ الفحوصات، ويربط أطر الامتثال، ويُصيّر التقارير.

في CI، يُفشل cloudg gate المهمة عند وجود نتائج بدرجة خطورة مساوية أو أعلى، ويكتب SARIF لفحص الشيفرة. على GitHub، يعمل المستودع أيضًا كإجراء (action) يثبّت cloudg والماسحات الضوئية، ويشغّل خط الأنابيب ويطبّق البوابة عليه:

permissions:
  contents: read
  id-token: write          # OIDC login to the cloud
  security-events: write   # SARIF upload

steps:
  - uses: aws-actions/configure-aws-credentials@v6
    with:
      role-to-assume: arn:aws:iam::123456789012:role/cloudg-github
      aws-region: us-east-1
  - uses: morpheuslord/[email protected]
    with:
      provider: aws
      fail-on: critical
      min-assets: "1"

يحتوي دليل CI والأتمتة على كل المدخلات، وعمليات تسجيل الدخول إلى Azure وGCP، وGitLab CI، ونسخة shell بسيطة.

خيارات تثبيت أخرى (pip، Docker، سكربتات المثبّت)

يعمل pip العادي أيضًا: pip install -e ".[all]". حِزم SDK السحابية هي إضافات اختيارية، لذا فإن pip install cloudg[aws] يجلب فقط boto3/aioboto3، و[azure] و[gcp] تفعل الشيء نفسه مع حِزم SDK الخاصة بهما، و[all] تثبّت الكل. الحزمة الأساسية بدون إضافات لا تزال تمنحك محرك الرسم البياني، والأنطولوجيا، والموحِّد، ومُصدِّرات التقارير.

الماسحات الضوئية الخارجية (Prowler، وCheckov، وTrivy، وScoutSuite) هي ملفات تنفيذية منفصلة، وليست تبعيات Python. يقوم install.sh (لينكس/ماك) وinstall.bat (ويندوز) بإعداد كل شيء بما في ذلك الماسحات الضوئية وواجهات سطر أوامر السحابة.

Docker هو الطريق الأسهل: تحتوي الصورة على Prowler وCheckov وTrivy (ScoutSuite غير مضمّن، لذا شغّله بشكل منفصل ومرّر تقريره إلى cloudg ingest):

docker build -t cloudg:latest .
docker compose run --rm cloudg run -p aws --regions us-east-1

تعيين المخزون

يجيب cloudg map على سؤال مختلف عن cloudg run: ما الموجود، وكيف يرتبط ببعضه. يبقى اكتشاف ما هو معطوب من مهام الماسحات الضوئية، ولا يعمل أي منها هنا ولا يحتاج حتى إلى التثبيت. ما يجعل الخريطة مكتملة:

جامعات خدمات عميقة. الحاويات (مستودعات ECR، وخدمات ECS وتعريفات المهام، وعناقيد EKS، ومجموعات العقد، وملفات تعريف Fargate، والإضافات، ومدخلات الوصول) وأحمال عمل Kubernetes العاملة داخل EKS؛ وLambda مع محفزاتها وعناوين URL للدوال والصور والطبقات؛ وAPI Gateway وSQS وSNS وEventBridge وStep Functions وKinesis؛ ومخازن البيانات؛ وRoute 53؛ ومكدسات CloudFormation والموارد التي تديرها؛ ومخطط IAM بأكمله؛ وخدمات الأمان والماسحات الضوئية التي تراقب الحساب (GuardDuty وSecurity Hub وInspector وMacie وConfig وAccess Analyzer وWAF وNetwork Firewall وShield وCloudTrail)، بما في ذلك الأماكن التي لم تُفعَّل فيها.
الاتساع عبر كل خدمة. على AWS، تُدرج عملية مسح عبر Cloud Control API كل نوع مورد يدعم الإدراج (أكثر من 800)، سواء كان موسومًا أم لا، إلى جانب 133 جامعة مخصصة. تُقرأ Azure عبر Azure Resource Graph في كل اشتراك ومجموعة إدارة، وGCP عبر Cloud Asset Inventory في المؤسسة بأكملها، وكلاهما بخصائص الموارد الكاملة.
كل الحسابات دفعة واحدة. يكتشف --org مؤسسة AWS من حساب الإدارة (شجرة الوحدات التنظيمية، والحسابات، وسياسات SCP، ومنطقة هبوط Control Tower مع مناطقها الخاضعة للحوكمة وعناصر التحكم المفعّلة) ويعيّن كل حساب عضو.
تبعيات متبادلة مُصنَّفة. تعبّر الحواف عن معناها: S3 INVOKES Lambda، وتعريف المهمة USES_IMAGE مستودع ECR، والدالة ASSUMES_ROLE الدور، وWAF PROTECTS ALB، وInspector MONITORS النسخة، والمكدس MANAGES المورد، وSCP GOVERNS الوحدة التنظيمية، إضافة إلى الثقة عبر الحسابات بالحسابات التي لم تعيّنها. بعد ذلك يجيب cloudg deps عن "ما الذي يحتاجه هذا" و"ما الذي ينكسر إذا تعطّل".

# map one provider
cloudg map -p aws --regions all

الأكثر شعبية

cloudg

البدء السريع

تعيين المخزون