morpheuslord/cloudgAWS, Azure und GCP von einer einzigen CLI aus kartieren, als Graph darstellen und prüfen. Erstellt einen Topologiegraphen, führt Prowler/Checkov/Trivy aus, ordnet Befunde 28 Compliance-Frameworks zu und exportiert HTML-Berichte, RDF-Ontologien, RAG-Chunks und Terraform-Wiederherstellungsdateien.
cloudg (cloud graphing) bildet AWS-, Azure- und GCP-Infrastruktur in einem Graphen ab,
führt Sicherheitsscanner über dasselbe Inventar aus und verwandelt die Ergebnisse in Berichte, die tatsächlich nutzbar sind.
Ein einziger Befehl sammelt Assets von jedem konfigurierten Anbieter parallel ein, speist sie durch einen NetworkX-Graphen für Erreichbarkeits- und Angriffspfadanalysen, verteilt sie an Prowler, ScoutSuite, Checkov und Trivy und führt anschließend alle Findings gegen 28 Compliance-Frameworks zusammen und dedupliziert sie. Am anderen Ende kommen ein interaktiver HTML-Bericht, GraphML, eine RDF-Ontologie, RAG-Chunks für LLM-Pipelines und Terraform-Dateien heraus, die die Live-Infrastruktur nachbilden.
Brauchen Sie die Karte ohne die Sicherheits-Tooling? cloudg map ist ein scannerunabhängiger Inventar-Mapper: Er sammelt tiefgehend alles ein, was in einem Konto bereitgestellt ist (oder standardmäßig gilt), bis hinunter zum Netzwerkgewebe, durchsucht jeden Dienst nach dem Rest und verknüpft alles zu einer einzigen Asset-Karte, die Sie später mit Scanner-Findings überlagern können. Siehe Inventar-Mapping.
Möchten Sie, dass ein KI-Agent damit arbeitet? cloudg mcp serve verwandelt cloudg in einen MCP-Server für Claude Desktop, Claude Code, Cursor oder alles andere, das das Model Context Protocol spricht. Siehe MCP-Server.
Vollständige Dokumentation: Das gerenderte Handbuch finden Sie unter morpheuslord.github.io/cloudg, mit demselben Inhalt als Markdown in der Funktionsreferenz und den Versionshinweisen im Changelog. Der Inventar-Mapper hat eigene ausführliche Dokumente: die Inventar-Referenz (jede Rückgabestruktur und Ausgabedatei, Feld für Feld), den Inventar-Katalog (alle 156 Asset-Typen, ihre Metadaten und Beziehungen) und die Inventar-Interna (wie es funktioniert und wie man es erweitert). Der MCP-Server wird im MCP-Leitfaden, in der Tool-Referenz und in der Datenschutz-Referenz behandelt, und die Drosselung in Rate Limits und Drosselung.
Beispielbericht: Um zu sehen, was cloudg erzeugt, bevor Sie irgendetwas ausführen, öffnen Sie den Beispielbericht. Es ist die report.html einer synthetischen AWS-, Azure- und GCP-Umgebung, sodass jede darin enthaltene ID erfunden ist, und scripts/build_sample_report.py baut sie aus den Test-Fixtures neu auf.
git clone https://github.com/morpheuslord/cloudg.git
cd cloudg
uv venv && source .venv/bin/activate
uv pip install -e ".[all,dev]"
# one provider, one region
cloudg run -p aws --regions us-east-1
# everything, everywhere
cloudg run -p all --regions all
# with Terraform recreation files
cloudg run -p aws --regions us-east-1 --terraform
Berichte landen in ./reports. Öffnen Sie zuerst report.html.
Haben Sie die Scanner bereits selbst ausgeführt? Übergeben Sie cloudg stattdessen deren native Ausgabedateien. Keine Cloud-Anmeldedaten, keine Scanner-Binärdateien:
cloudg ingest --prowler ./prowler-output/ --checkov ./results_json.json --trivy ./trivy.json
Jede Kombination von Prowler-, ScoutSuite-, Checkov- und Trivy-Ausgaben funktioniert; cloudg normalisiert, dedupliziert über die Scanner hinweg mithilfe der Check-Äquivalenz-Regelsätze, ordnet Compliance-Frameworks zu und rendert die Berichte.
In CI lässt cloudg gate den Job bei Findings ab einem bestimmten Schweregrad oder höher fehlschlagen und schreibt SARIF für das Code-Scanning. Auf GitHub fungiert das Repository zugleich als Action, die cloudg und die Scanner installiert, die Pipeline ausführt und sie gated:
permissions:
contents: read
id-token: write # OIDC login to the cloud
security-events: write # SARIF upload
steps:
- uses: aws-actions/configure-aws-credentials@v6
with:
role-to-assume: arn:aws:iam::123456789012:role/cloudg-github
aws-region: us-east-1
- uses: morpheuslord/[email protected]
with:
provider: aws
fail-on: critical
min-assets: "1"
Der CI- und Automatisierungsleitfaden enthält alle Eingaben, Azure- und GCP-Logins, GitLab CI und eine reine Shell-Version.
Einfaches pip funktioniert ebenfalls: pip install -e ".[all]". Die Cloud-SDKs sind Extras, daher zieht pip install cloudg[aws] nur boto3/aioboto3, [azure] und [gcp] tun dasselbe für ihre SDKs, und [all] installiert alles. Das Kernpaket ohne Extras liefert weiterhin die Graph-Engine, die Ontologie, den Normalisierer und die Report-Renderer.
Die externen Scanner (Prowler, Checkov, Trivy, ScoutSuite) sind separate ausführbare Programme, keine Python-Abhängigkeiten. install.sh (Linux/macOS) und install.bat (Windows) richten alles ein, einschließlich der Scanner und der Cloud-CLIs.
Docker ist der bequeme Weg: Das Image bündelt Prowler, Checkov und Trivy (ScoutSuite ist nicht enthalten, also führe es separat aus und speise seinen Report in cloudg ingest ein):
docker build -t cloudg:latest .
docker compose run --rm cloudg run -p aws --regions us-east-1
cloudg map beantwortet eine andere Frage als cloudg run: was existiert und wie es miteinander verbunden ist. Herauszufinden, was nicht stimmt, bleibt Aufgabe der Scanner, und keiner von ihnen läuft hier oder muss auch nur installiert sein. Was die Zuordnung vollständig macht: