aws-perimeter

ماسح أمان AWS يعمل في الطرفية مع أكثر من 100 فحص أمني عبر VPC وIAM وS3 وCloudTrail والحاويات (ECS/EKS) واكتشاف هجمات الذكاء الاصطناعي. يكتشف أذونات IAM الخطيرة، الأسرار المكشوفة، حاويات S3 غير المهيأة بشكل صحيح، ثغرات الحاويات، وتهديدات LLMjacking الناشئة.

نظرة عامة على المنتج: docs/CAPABILITIES_OVERVIEW.md

الميزات

🔒 أمان VPC

• تحليل مجموعات الأمان (SSH/RDP مفتوحة، منافذ قواعد البيانات)
• كشف التعرض العام ومخاطر منافذ الإدارة
• تحليل قوائم ACL للشبكة وتدقيق سجلات تدفق VPC
• مخاطر اتصال VPC، كشف خوادم البوابة (bastion)
• حالة NAT Gateway وتغطية نقاط نهاية VPC

🔑 أمان IAM

• كشف تصعيد الامتيازات (17 نمطاً)
• بيانات اعتماد قديمة (أكثر من 90 يوماً)
• تحليل الثقة عبر الحسابات
• فجوات تفعيل MFA
• سياسات متساهلة جداً (*:*)
• تسلسل الأدوار، المعرف الخارجي، حدود الأذونات

🪣 أمان S3

• كشف الحاويات العامة
• تدقيق التشفير وسياسات الحاويات الخطيرة
• حالة منع الوصول العام
• اكتشاف الملفات/الكائنات الحساسة (.env، .git، بيانات الاعتماد)
• كشف النصوص السرية العميقة في كائنات S3

📝 CloudTrail والتسجيل

• فجوات تغطية المسارات والتسجيل متعدد المناطق
• حالة التحقق من صحة السجلات
• التكامل مع CloudWatch Logs

🕵️ كشف الأسرار

• متغيرات بيئة Lambda (10 أنماط سرية)
• فحص حزمة نشر Lambda (ZIP)
• فحص بيانات مستخدم EC2
• فحص محتوى كائنات S3 العامة
• فحص طبقات صور ECR بحثاً عن بيانات اعتماد مضمنة
• مفاتيح AWS، رموز GitHub/Slack/Stripe

🐳 أمان الحاويات (جديد)

أمان ECS (10 فحوصات)

• حاويات ذات صلاحيات مرتفعة
• أسرار في متغيرات البيئة
• تعرض عنوان IP العام
• وضع شبكة المضيف
• صور غير من ECR
• نظام ملفات جذر قابل للكتابة
• قدرات Linux خطيرة
• تمكين ECS Exec
• حالة Container Insights
• دور مهام إداري

أمان EKS (12 فحصاً)

• الوصول العام لنقطة النهاية
• نقطة النهاية الخاصة معطلة
• تسجيل مستوى التحكم
• تشفير الأسرار
• إصدار Kubernetes
• موفر OIDC لـ IRSA
• أوضاع المصادقة القديمة
• عقد شبكات فرعية عامة
• وصول SSH غير مقيد
• دور IAM لعقدة على مستوى إداري
• نوع AMI (تفضيل Bottlerocket)

🤖 كشف هجمات الذكاء الاصطناعي (جديد)

بناءً على معلومات تهديدات فبراير 2025: خرق AWS في 8 دقائق

• مراقبة مثيلات GPU: كشف مثيلات p2/p3/p4/p5, g3/g4/g5, inf1/inf2, trn1
• تعرض GPU العام: مثيلات GPU بعناوين IP عامة
• خطر IMDSv1 على GPU: مثيلات GPU معرضة لسرقة بيانات الاعتماد
• إساءة استخدام Bedrock: كشف الإنتاجية العالية المخصصة
• نماذج مخصصة: تدريب نماذج Bedrock غير مصرح به
• تسجيل Bedrock: عدم تسجيل استدعاءات النماذج
• التوفير السريع: كشف اختناق API EC2 (نمط هجوم)

ملخص الفحوصات الأمنية

الفئة	العدد
الأساسية (IAM, VPC, S3, CloudTrail, أسرار)	38
الموسعة (Lambda, ELB, Route53, Inspector، إلخ)	35
أمان الحاويات (ECS + EKS)	22
كشف هجمات الذكاء الاصطناعي	7
المجموع	102

الفحوصات الأمنية الحرجة

الفحص	الخطورة	الوصف
تصعيد الامتيازات	🔴 حرج	يمكن للمستخدم التصعيد إلى مسؤول
وصول إداري (:)	🔴 حرج	وصول كامل إلى AWS
أسرار مكشوفة	🔴 حرج	مفاتيح API/رموز في Lambda/EC2
حاوية S3 عامة	🔴 حرج	الحاوية متاحة للعموم
لا يوجد CloudTrail	🔴 حرج	لا يوجد تسجيل تدقيق
SSH/RDP مفتوح	🔴 حرج	المنفذ 22/3389 مفتوح للإنترنت
حاوية ذات صلاحيات مرتفعة	🔴 حرج	حاوية ECS مع وصول جذر
GPU IMDSv1	🔴 حرج	بيانات اعتماد مثيل GPU معرضة للخطر
ثقة عبر الحسابات	🟠 عالٍ	يمكن لحساب خارجي افتراض الدور
نقطة نهاية EKS عامة	🟠 عالٍ	واجهة Kubernetes API متاحة للعموم
Bedrock بدون تسجيل	🟠 عالٍ	استخدام نموذج AI غير مدقق

المتطلبات الأساسية

1. تثبيت AWS CLI

# macOS
brew install awscli

# Linux
curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
unzip awscliv2.zip && sudo ./aws/install

2. تكوين بيانات اعتماد AWS

aws configure
# أو استخدام ملفات تعريف مسماة
aws configure --profile myprofile

3. أذونات IAM المطلوبة

يجب أن تحتوي بيانات اعتماد AWS الخاصة بك على وصول للقراءة فقط إلى الخدمات التي يتم فحصها. تعمل السياسة المدارة ReadOnlyAccess من AWS، أو راجع الأذونات المطلوبة أدناه.

ملاحظة: يقوم aws-perimeter فقط بعمليات قراءة ولا يقوم أبداً بتعديل موارد AWS الخاصة بك.

التثبيت

التثبيت السريع (macOS/Linux)

curl -sSfL https://raw.githubusercontent.com/thirukguru/aws-perimeter/main/install.sh | sh

باستخدام Go

go install github.com/thirukguru/aws-perimeter@latest

الاستخدام

aws-perimeter                          # تشغيل فحص أمني كامل
aws-perimeter --output json            # إخراج بصيغة JSON
aws-perimeter --profile prod           # ملف تعريف AWS محدد
aws-perimeter --region us-west-2       # منطقة محددة
aws-perimeter --regions us-east-1,us-west-2            # فحص متعدد المناطق
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4  # فحص متعدد المناطق مع تحكم في التزامن
aws-perimeter --regions us-east-1,us-west-2 --max-parallel 4 --best-effort  # خروج بنجاح إذا نجحت منطقة واحدة على الأقل
aws-perimeter --rules                   # طباعة RULES.md إلى stdout (Markdown)
aws-perimeter --capabilities            # طباعة نظرة عامة على الإمكانيات إلى stdout (Markdown)
aws-perimeter --all-regions                            # فحص جميع المناطق المفعلة
aws-perimeter --org-scan --org-role-name OrganizationAccountAccessRole  # فحص مؤسسة متعدد الحسابات
aws-perimeter --org-scan --max-parallel 5              # تزامن المناطق والحسابات
aws-perimeter --output html --output-file report.html  # إنشاء تقرير HTML
aws-perimeter --store --profile prod --region us-west-2 # تشغيل + حفظ الفحص
aws-perimeter --trends --trend-days 30 --account-id 123456789012  # عرض جدول الاتجاهات التاريخي
aws-perimeter history list --db-path ~/.aws-perimeter/history.db
aws-perimeter dashboard --port 8080

بالنسبة لأوضاع التوزيع (--regions، --all-regions، --org-scan) مع --output html --output-file ...، يكتب aws-perimeter تقريراً واحداً لكل وحدة فحص مع لاحقات المنطقة/الحساب والطابع الزمني (مثل security-report-us-east-1-20260210-213045.html أو security-report-123456789012-us-east-1-20260210-213045.html). في وضع HTML، يتم إخفاء إخراج الجدول في الطرفية وطباعة أسطر ملخص موجزة فقط.

وضع أتمتة JSON

عند استخدام --output json، يصدر aws-perimeter مستند JSON واحداً صحيحاً بدون ضوضاء لافتة/رسوم متحركة، لذا فهو آمن لخطوط الأنابيب.

aws-perimeter --profile prod --region us-west-2 --output json | jq .

# JSON متعدد المناطق يصدر مستند JSON واحد مجمع على المستوى الأعلى:
aws-perimeter --profile prod --regions us-east-1,us-west-2 --output json | jq .

# تصدير الوثائق عبر إعادة توجيه stdout
aws-perimeter --rules > rules.md
aws-perimeter --capabilities > capabilities.md

يتضمن حمولة JSON متعدد المناطق:

• summary (total_regions, success, failed, skipped)
• results (حمولات فحص مجمعة لكل منطقة)
• failures (تفاصيل المنطقة والخطأ عند فشل فحص المنطقة)

إخراج ملخص التوزيع

بالنسبة للمسح متعدد المناطق ومسح المؤسسة في أوضاع الإخراج غير JSON، يطبع aws-perimeter ملخصاً مجمعاً في نهاية التنفيذ:

• صفوف لكل وحدة فحص تحتوي على account_id، account_name، region، status، duration، و error.
• إجماليات مجمعة (TOTAL, SUCCESS, FAILED, SKIPPED).
• جدول إجمالي على مستوى الحساب لمسح المؤسسة (عدد النجاح/الفشل/التخطي لكل حساب).