SCOPE: Sicherheits-Cloud-Ops-Purple-Engagement

SCOPE führt AWS-Purple-Team-Workflows mit deterministischer Python-Inventarisierung und begrenzten KI-Agenten aus. Es prüft AWS-Ressourcen, validiert Angriffspfade, generiert reine Überprüfungs-Exploit-Playbooks, erstellt Kontrollen und leitet Splunk-Untersuchungen.

Funktionsweise

Führen Sie SCOPE über Claude Code, Antigravity CLI, Gemini CLI oder Codex CLI aus:

/scope:audit --all

Schnellstart

git clone https://github.com/tayontech/SCOPE.git
cd SCOPE
uv run python -m scope.install

export AWS_PROFILE=your-profile

/scope:audit --all
/scope:audit iam s3 lambda
/scope:exploit arn:aws:iam::123456789012:role/target-role
/scope:exploit
/scope:investigate

Voraussetzungen: Python 3.11+, uv, AWS CLI mit schreibgeschützten Anmeldeinformationen und eine unterstützte Laufzeitumgebung. Node.js unterstützt Dashboard-Generierung und Splunk MCP mcp-remote-Transport.

Skriptgesteuerte Installationen:

uv run python -m scope.install --claude --local --no-splunk-mcp
uv run python -m scope.install --antigravity --local --no-splunk-mcp
uv run python -m scope.install --gemini --local --no-splunk-mcp
uv run python -m scope.install --codex --local --no-splunk-mcp
uv run python -m scope.install --all --local --with-splunk-mcp

Die interaktive Installation fragt, ob die integrierten Splunk-MCP-Standardwerte konfiguriert werden sollen. Skriptgesteuerte Installationen überspringen MCP-Server-Einstellungen, es sei denn, Sie übergeben --with-splunk-mcp. Verwenden Sie --no-splunk-mcp, wenn die Automatisierung die Auswahl in den Protokollen anzeigen soll. SCOPE bleibt SPL-zuerst, bis das Projekt Abfragesprachprofile hinzufügt. Siehe config/mcp-setup.md.

Sicherheit

SCOPE-Agenten führen standardmäßig schreibgeschützte AWS-Aktivitäten aus. config/hooks/scope-safety-guard.sh blockiert destruktive AWS-Shell-Operationen vor der Ausführung. Audit und Exploit können AWS-CLI-Replay-Befehlsartefakte zur menschlichen Überprüfung schreiben; Agenten führen diese Schreibbefehle nicht aus.

Dashboard

Erstellen Sie einen eigenständigen Bericht für einen Durchlauf:

cd dashboard && npm run dashboard
open dashboard/reports/<run-id>-dashboard.html

Ein expliziter Audit-Durchlauf-Verzeichnisbasename wird zur Dashboard-Durchlauf-ID. dashboard/public/index.json speichert reports[]; jeder Bericht verweist auf einen Audit-JSON-Export und optionalen Kontrollen-JSON-Export. Kontrollen werden an den Audit-Bericht angehängt, sodass ein Audit-Workflow einen auswählbaren Dashboard-Bericht erstellt.

Das Dashboard zeigt Angriffsgraphen, Pfaddetails, Ergebnisse zur öffentlichen Gefährdung, Kontrollen, SPL-Erkennungen, Dashboard-Ideen, Richtlinienersetzungen und Behebung.

Plattformen

Google gab am 19. Mai 2026 bekannt, dass die Gemini CLI- und Gemini Code Assist IDE-Erweiterungen am 18. Juni 2026 keine Anfragen mehr für Google AI Pro, Ultra und kostenlose Einzelnutzer bedienen. Verwenden Sie für neue Google-Installationen Antigravity CLI. SCOPE behält --gemini für Unternehmens-/API-Key-Benutzer und Migration bei.

Agenten und Modelle

Top-Level-Agenten erben das Laufzeitsitzungsmodell:

• scope-audit orchestriert Prüfungs-Gates, Python-Laufzeitausführung, Angriffsanalyse, Replay-Artefakte und Kontrollverkettung.
• scope-controls orchestriert organisationsweite Probleme, Erkennungen, Dashboard-Ideen, Richtlinienersetzungen, Behebung und Validierung.
• scope-exploit generiert Principal-bezogene Red-Team-Playbooks.
• scope-investigate führt Alert-, laufgeführte und Intel-Untersuchungsmodi aus.

Subagenten führen begrenzte Reasoning-Aufgaben aus:

• scope-attack-analyze, scope-attack-validate, scope-public-exposure-analysis und scope-awscli-replay unterstützen Angriffspfadanalyse und Replay-Artefakte.
• scope-controls-org-wide, scope-controls-detections, scope-controls-dashboards, scope-controls-policy, scope-controls-remediation und scope-controls-validate unterstützen Kontrollen.
• scope-investigate-alert, scope-investigate-intel und scope-investigate-run bereiten Untersuchungskontext vor.

Wenn Sie /scope:audit --all ausführen, läuft der Orchestrator auf Ihrem Sitzungsmodell, ruft scope audit für deterministische Python-Enumeration und Nachbearbeitung auf, initialisiert IAM- und öffentliche/dienstverbundene Kandidaten mit scope.attack.candidates, dispatched scope-attack-analyze, reichert optional Kandidaten über scope-research an und kann dann reine Überprüfungs-AWS-CLI-Replay-Artefakte für validierte Pfade generieren, bevor Kontrollen auf einem Reasoning-Modell verkettet werden.

Claude-Subagenten verwenden den opus[1m]-Alias für größeren Kontext während artefaktintensiver Analyse und Validierung. Die Enumeration verwendet deterministisches Python, kein KI-Modell.

Dokumentation

Community

• Probleme
• Pull-Requests

Erstellt von Tayvion Payton