aws-perimeter

ماسح أمان AWS يعمل في الطرفية مع أكثر من 100 فحص أمني عبر VPC وIAM وS3 وCloudTrail والحاويات (ECS/EKS) واكتشاف هجمات الذكاء الاصطناعي. يكتشف أذونات IAM الخطيرة، الأسرار المكشوفة، حاويات S3 غير المهيأة بشكل صحيح، ثغرات الحاويات، وتهديدات LLMjacking الناشئة.

نظرة عامة على المنتج: docs/CAPABILITIES_OVERVIEW.md

الميزات

🔒 أمان VPC

• تحليل مجموعات الأمان (SSH/RDP مفتوحة، منافذ قواعد البيانات)
• كشف التعرض العام ومخاطر منافذ الإدارة
• تحليل قوائم ACL للشبكة وتدقيق سجلات تدفق VPC
• مخاطر اتصال VPC، كشف خوادم البوابة (bastion)
• حالة NAT Gateway وتغطية نقاط نهاية VPC

🔑 أمان IAM

• كشف تصعيد الامتيازات (17 نمطاً)
• بيانات اعتماد قديمة (أكثر من 90 يوماً)
• تحليل الثقة عبر الحسابات
• فجوات تفعيل MFA
• سياسات متساهلة جداً (*:*)
• تسلسل الأدوار، المعرف الخارجي، حدود الأذونات

🪣 أمان S3

• كشف الحاويات العامة
• تدقيق التشفير وسياسات الحاويات الخطيرة
• حالة منع الوصول العام
• اكتشاف الملفات/الكائنات الحساسة (.env، .git، بيانات الاعتماد)
• كشف النصوص السرية العميقة في كائنات S3

📝 CloudTrail والتسجيل

• فجوات تغطية المسارات والتسجيل متعدد المناطق
• حالة التحقق من صحة السجلات
• التكامل مع CloudWatch Logs

🕵️ كشف الأسرار

• متغيرات بيئة Lambda (10 أنماط سرية)
• فحص حزمة نشر Lambda (ZIP)
• فحص بيانات مستخدم EC2
• فحص محتوى كائنات S3 العامة
• فحص طبقات صور ECR بحثاً عن بيانات اعتماد مضمنة
• مفاتيح AWS، رموز GitHub/Slack/Stripe

🐳 أمان الحاويات (جديد)

أمان ECS (10 فحوصات)

• حاويات ذات صلاحيات مرتفعة
• أسرار في متغيرات البيئة
• تعرض عنوان IP العام
• وضع شبكة المضيف
• صور غير من ECR
• نظام ملفات جذر قابل للكتابة
• قدرات Linux خطيرة
• تمكين ECS Exec
• حالة Container Insights
• دور مهام إداري

أمان EKS (12 فحصاً)

• الوصول العام لنقطة النهاية
• نقطة النهاية الخاصة معطلة
• تسجيل مستوى التحكم
• تشفير الأسرار
• إصدار Kubernetes
• موفر OIDC لـ IRSA
• أوضاع المصادقة القديمة
• عقد شبكات فرعية عامة
• وصول SSH غير مقيد
• دور IAM لعقدة على مستوى إداري
• نوع AMI (تفضيل Bottlerocket)

🤖 كشف هجمات الذكاء الاصطناعي (جديد)

بناءً على معلومات تهديدات فبراير 2025: خرق AWS في 8 دقائق

• مراقبة مثيلات GPU: كشف مثيلات p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• تعرض GPU العام: مثيلات GPU بعناوين IP عامة
• خطر IMDSv1 على GPU: مثيلات GPU معرضة لسرقة بيانات الاعتماد
• إساءة استخدام Bedrock: كشف الإنتاجية العالية المخصصة
• نماذج مخصصة: تدريب نماذج Bedrock غير مصرح به
• تسجيل Bedrock: عدم تسجيل استدعاءات النماذج
• التوفير السريع: كشف اختناق API EC2 (نمط هجوم)

ملخص الفحوصات الأمنية

الفحوصات الأمنية الحرجة

المتطلبات الأساسية

1. تثبيت AWS CLI

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. تكوين بيانات اعتماد AWS

aws configure
# أو استخدام ملفات تعريف مسماة
aws configure --profile myprofile

3. أذونات IAM المطلوبة

يجب أن تحتوي بيانات اعتماد AWS الخاصة بك على وصول للقراءة فقط إلى الخدمات التي يتم فحصها. تعمل السياسة المدارة ReadOnlyAccess من AWS، أو راجع الأذونات المطلوبة أدناه.

ملاحظة: يقوم aws-perimeter فقط بعمليات قراءة ولا يقوم أبداً بتعديل موارد AWS الخاصة بك.

التثبيت

التثبيت السريع (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

باستخدام Go

go install github.com/thirukguru/aws-perimeter@latest

الاستخدام

aws-perimeter                          # تشغيل فحص أمني كامل
aws-perimeter --output json            # إخراج بصيغة JSON
aws-perimeter --profile prod           # ملف تعريف AWS محدد
aws-perimeter --region us-west-2       # منطقة محددة
aws-perimeter --regions us-east-1,us-west-2            # فحص متعدد المناطق
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # فحص متعدد المناطق مع تحكم في التزامن
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # خروج بنجاح إذا نجحت منطقة واحدة على الأقل
aws-perimeter --rules                   # طباعة RULES.md إلى stdout (Markdown)
aws-perimeter --capabilities            # طباعة نظرة عامة على الإمكانيات إلى stdout (Markdown)
aws-perimeter --all-regions                            # فحص جميع المناطق المفعلة
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # فحص مؤسسة متعدد الحسابات
aws-perimeter --org-scan --max-parallel 5              # تزامن المناطق والحسابات
aws-perimeter --output html --output-file report.html  # إنشاء تقرير HTML
aws-perimeter --store --profile prod --region us-west-2 # تشغيل + حفظ الفحص
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # عرض جدول الاتجاهات التاريخي
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080

بالنسبة لأوضاع التوزيع (--regions، --all-regions، --org-scan) مع --output html --output-file ...، يكتب aws-perimeter تقريراً واحداً لكل وحدة فحص مع لاحقات المنطقة/الحساب والطابع الزمني (مثل security-report-us-east-1-20260210-213045.html أو security-report-123456789012-us-east-1-20260210-213045.html). في وضع HTML، يتم إخفاء إخراج الجدول في الطرفية وطباعة أسطر ملخص موجزة فقط.

وضع أتمتة JSON

عند استخدام --output json، يصدر aws-perimeter مستند JSON واحداً صحيحاً بدون ضوضاء لافتة/رسوم متحركة، لذا فهو آمن لخطوط الأنابيب.

aws-perimeter --profile prod --region us-west-2 --output json | jq .

# JSON متعدد المناطق يصدر مستند JSON واحد مجمع على المستوى الأعلى:
aws-perimeter --profile prod --regions us-east-1,us-west-2 --output json | jq .

# تصدير الوثائق عبر إعادة توجيه stdout
aws-perimeter --rules > rules.md
aws-perimeter --capabilities > capabilities.md

يتضمن حمولة JSON متعدد المناطق:

• summary (total_regions, success, failed, skipped)
• results (حمولات فحص مجمعة لكل منطقة)
• failures (تفاصيل المنطقة والخطأ عند فشل فحص المنطقة)

إخراج ملخص التوزيع

بالنسبة للمسح متعدد المناطق ومسح المؤسسة في أوضاع الإخراج غير JSON، يطبع aws-perimeter ملخصاً مجمعاً في نهاية التنفيذ:

• صفوف لكل وحدة فحص تحتوي على account_id، account_name، region، status، duration، و error.
• إجماليات مجمعة (TOTAL, SUCCESS, FAILED, SKIPPED).
• جدول إجمالي على مستوى الحساب لمسح المؤسسة (عدد النجاح/الفشل/التخطي لكل حساب).

--max-parallel و --best-effort

• يتحكم --max-parallel في عدد وحدات فحص المنطقة/الحساب التي تعمل بالتزامن في أوضاع التوزيع (--regions، --all-regions، --org-scan).
• القيم الأعلى تسرع عمليات الفحص ولكنها تزيد ضغط API واحتمال الاختناق/تنازع الشبكة.
• نقطة البداية الموصى بها: --max-parallel 3 أو --max-parallel 4.
• ينطبق --best-effort على عمليات الفحص متعددة المناطق: يخرج الأمر بنجاح (0) عندما تنجح منطقة واحدة على الأقل، حتى لو فشلت بعض المناطق.
• بدون --best-effort، أي منطقة فاشلة ترجع رمز خروج غير صفري.
• في إخراج JSON متعدد المناطق، تظهر المناطق الفاشلة تحت failures مع الخطأ الدقيق.

العلامات

أذونات AWS المطلوبة

الأذونات التالية مطلوبة لتغطية الميزات الكاملة (بما في ذلك الفحص متعدد المناطق وفحص المؤسسة):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "sts:GetCallerIdentity",
        "sts:AssumeRole",
        
        "organizations:DescribeOrganization",
        "organizations:ListAccounts",
        
        "ec2:Describe*",
        "ec2:GetEbsEncryptionByDefault",
        
        "iam:List*",
        "iam:Get*",
        "iam:GenerateCredentialReport",
        
        "s3:ListAllMyBuckets",
        "s3:GetBucket*",
        "s3:GetEncryptionConfiguration",
        
        "cloudtrail:DescribeTrails",
        "cloudtrail:GetTrailStatus",
        "cloudtrail:LookupEvents",
        
        "lambda:ListFunctions",
        "lambda:GetFunctionConfiguration",
        "lambda:GetFunction",
        
        "ecr:DescribeRepositories",
        "ecr:DescribeImages",
        "ecr:BatchGetImage",
        "ecr:GetDownloadUrlForLayer",
        
        "ecs:ListClusters",
        "ecs:DescribeClusters",
        "ecs:ListServices",
        "ecs:DescribeServices",
        "ecs:DescribeTaskDefinition",
        
        "eks:ListClusters",
        "eks:DescribeCluster",
        "eks:ListNodegroups",
        "eks:DescribeNodegroup",
        
        "bedrock:ListProvisionedModelThroughputs",
        "bedrock:ListCustomModels",
        "bedrock:GetModelInvocationLoggingConfiguration",
        
        "guardduty:ListDetectors",
        "guardduty:GetDetector",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        
        "securityhub:DescribeHub",
        "securityhub:GetFindings",
        
        "config:Describe*",
        
        "kms:ListKeys",
        "kms:DescribeKey",
        "kms:GetKeyRotationStatus",
        "kms:Decrypt",
        
        "rds:DescribeDB*",
        
        "dynamodb:ListTables",
        "dynamodb:DescribeTable",
        "dynamodb:DescribeContinuousBackups",
        
        "secretsmanager:ListSecrets",
        
        "elasticloadbalancing:Describe*",
        
        "backup:List*",
        
        "apigateway:GET",
        
        "cloudfront:List*",
        "cloudfront:Get*",
        
        "cloudwatch:GetMetricStatistics",
        
        "sns:ListTopics",
        "sqs:ListQueues"
      ],
      "Resource": "*"
    }
  ]
}

kms:Decrypt مطلوب فقط عند فحص الكائنات/الحزم المشفرة (مثل قراءة كائنات S3 بتشفير SSE-KMS). قم بتحديد نطاقه لمفاتيح KMS المطلوبة في الإنتاج.

بالنسبة لـ --org-scan، يجب السماح للمدير الأساسي بافتراض دور حساب عضو (الافتراضي: OrganizationAccountAccessRole)، على سبيل المثال:

{
  "Effect": "Allow",
  "Action": "sts:AssumeRole",
  "Resource": "arn:aws:iam::*:role/OrganizationAccountAccessRole"
}

يجب أن تسمح سياسة الثقة لدور حساب العضو أيضاً للمستخدم/الدور الماسح الخاص بك بافتراضه (ويجب تضمين شرط sts:ExternalId إذا كنت تستخدم --external-id).

نصيحة: للبدء السريع، قم بإرفاق السياسة المدارة arn:aws:iam::aws:policy/ReadOnlyAccess من AWS لمستخدم/دور IAM الخاص بك.

خريطة الطريق

المرحلة 3: كشف التهديدات المتقدمة

• نمذجة تهديدات STRIDE
• تحليل مسار الهجوم
• كشف تسرب البيانات
• مؤشرات التعدين الخفي

المرحلة 4: ميزات المؤسسات

• دعم حسابات متعددة في المؤسسة
• التكامل مع CI/CD
• تصدير SIEM (Splunk, ELK)
• الاتجاهات التاريخية

الملخص

الترخيص

Apache License 2.0