likithmanoj/nhi-risk-analyzerEntdeckt, bewertet risikomäßig und behebt nicht-menschliche Identitäten in AWS, Azure und GCP mithilfe von offline regelbasierter Analyse, Erkennung von Rechteausweitung und Eindämmung durch Berechtigungsgrenzen.
Eine unternehmensgerechte, offline-first Security-Automatisierungsplattform, die Non-Human Identities (NHIs) – Service Principals, Service Accounts, Machine Roles, Access Keys und Credentials – über AWS, Azure und Google Cloud Platform (GCP) hinweg entdeckt, inventarisiert, analysiert, risikobewertet und sicher remediiert.
⭐️ Wenn du dieses Tool für die Prüfung und Absicherung von Non-Human Identities über Clouds hinweg hilfreich findest, zieh bitte in Erwägung, das Repository mit einem Stern zu versehen!
| Cloud-Anbieter | Abgedeckte Identitätstypen | Discovery-Engine | Secret-/Credential-Prüfung | Aktive Regeln | Status |
|---|---|---|---|---|---|
| 🟧 AWS | IAM Roles, Machine Users, Groups, Policies | Boto3 + Session Caching | Access Keys (CreateDate, LastUsed) | 13 Regeln (AWS_01–16, TAG_01) | ✅ Unterstützt |
| 🟦 Azure | Entra ID Service Principals, App Registrations, Managed Identities | Pure REST (Graph & ARM) | Client Secrets (passwordCredentials), Certs (keyCredentials) | 5 Regeln (AZURE_01–05) | ✅ Unterstützt |
| 🟥 GCP | Service Accounts, Workload Identity, IAM Roles | Pure REST (IAM & Resource Mgr) | Service Account Keys (validAfterTime, benutzerverwaltet) | 6 Regeln (GCP_01–06) | ✅ Unterstützt |
🧪 Test-Suite-Status: 102 bestanden, 4 Subtests bestanden (100 % GRÜN) über alle Anbieter und Engines hinweg.
NHI Risk Analyzer adressiert eine kritische Multi-Cloud-Sicherheitsherausforderung: Moderne unternehmensweite Cloud-Umgebungen häufen Hunderte von Maschinen- und Non-Human-Identities an (Service Accounts, Automatisierungsrollen, CI/CD-Credentials, cloudübergreifende Trust-Rollen) – bei minimaler Sichtbarkeit darüber, welche Identitäten überprivilegiert, inaktiv oder mit einem Privilegieneskalationsrisiko behaftet sind.
Die Plattform erzwingt eine strikte architektonische Entkopplung über drei klar getrennte Phasen:
inventory.json-Snapshot über leichtgewichtige, cloud-native Mechanismen (Boto3 mit Session-Caching für AWS; abhängigkeitsfreies Pure REST für Azure und GCP).Unternehmensweite Multi-Cloud-Umgebungen enthalten routinemäßig Non-Human-Identities, die:
NHI Risk Analyzer automatisiert Discovery, Sicherheitsanalyse und gezielte Remediation über Cloud-Anbieter hinweg mithilfe von Cloud-APIs und Offline-Regelverarbeitung.
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ AWS IAM │ │ Azure Entra │ │ GCP IAM │
│ (Boto3) │ │ (Pure REST) │ │ (Pure REST) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
│ │ │
└────────────────┐ │ ┌────────────────┘
▼ ▼ ▼
┌───────────────────────────┐
│ inventory.py │
│ (Multi-Cloud Collector) │
└─────────────┬─────────────┘
▼
┌───────────────────────────┐
│ inventory.json │
│ (Unified State Snapshot) │
└─────────────┬─────────────┘
│
▼
┌───────────────────────────┐
│ risk.py │
│ (--cloud Orchestrator) │
└─────────────┬─────────────┘
│
┌────────────────────────┼────────────────────────┐
▼ ▼ ▼
┌──────────────┐ ┌──────────────┐ ┌──────────────┐
│ aws.py sub- │ │ azure.py sub-│ │ gcp.py sub- │
│ runner │ │ runner │ │ runner │
│ (13 Rules) │ │ (5 Rules) │ │ (6 Rules) │
└──────┬───────┘ └──────┬───────┘ └──────┬───────┘
└────────────────────────┼────────────────────────┘
▼
┌───────────────────────────┐
│ dispatch.py │
│ (Containment Dispatcher) │
└─────────────┬─────────────┘
│
┌────────────────────────┴────────────────────────┐
▼ ▼
┌─────────────────────────┐ ┌─────────────────────┐
│ policy_surgery.py & │ │ credential.py │
│ policy.py (Boundaries) │ │ (Deactivate Key) │
└─────────────────────────┘ └─────────────────────┘
nhi/services/inventory.py): Fragt Cloud-APIs über AWS, Azure und GCP ab, reichert Credential-Metadaten an (letzte Verwendung des Zugriffsschlüssels, Ablauf des Secrets) und serialisiert einen sauberen State-Snapshot in inventory.json.nhi/risk/risk.py): Akzeptiert --cloud {aws,azure,gcp,all}, um gezielt Cloud-Provider anzusprechen, unnötige API-Aufrufe zu sparen und cross-tenant Rate Limits zu vermeiden.nhi/risk/runners/): Entkoppelte Ausführungs-Engines (aws.py, azure.py, gcp.py) verarbeiten Provider-Inventare gegen modulare Sicherheitsregeln mit defensiven Guards gegen partielle oder fehlende Cloud-Payloads.nhi/services/export.py, nhi/remediation/diff.py): Berechnet Security-Drift gegenüber historischen Baseline-Scans, lädt Ausführungsartefakte in Cloud-Speicher hoch und exportiert Findings als CSV und OASIS SARIF v2.1.0 für Audit-Pipelines.nhi/remediation/): AST-basierte Partitionierung von Policy-Statements (policy_surgery.py) und nicht-destruktive Containment-Grenzen/Key-Deaktivierung mit Dry-Run-Simulationsmodus und Ausnahmen über nhi-ignore.yaml.